PT-2026-66838
CVE-2026-53501
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-08-04
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Thumbor الأقدم من 7.8.0
الوصف
يمكن تجاوز التحقق من صحة HMAC بسبب استخدام طريقة Python
.replace() عند إزالة التوقيع من عنوان URL قبل التحقق من الصحة. ونظرًا لأن .replace() تزيل جميع مرات ظهور السلسلة الفرعية بدلاً من المرة الأولى فقط، يمكن للمهاجم إدخال نسخ متعددة من التوقيع في عنوان URL. ينتج عن ذلك سلسلة تم التحقق من صحتها تختلف عن المورد المطلوب الفعلي، مما يسمح بتحميل الصور من نطاقات أو مسارات غير مقصودة، وقد يؤدي إلى تحويل النشر إلى وكيل مفتوح. تتضمن العملية دالة url.replace() ودالة signer.validate().التوصيات
التحديث إلى الإصدار 7.8.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾