CVE-2026-40072 in web3.py
الملخص
بحسب VulDB • 22/05/2026
تتيح لك مكتبة web3.py التفاعل مع شبكة إيثيريوم (Ethereum blockchain) باستخدام لغة بايثون. في الإصدارات من 6.0.0b3 وحتى قبل 7.15.0، وكذلك في الإصدار 8.0.0b2، تطبق مكتبة web3.py ميزة CCIP Read / OffchainLookup (EIP-3668) من خلال إجراء طلبات HTTP إلى عناوين URL يتم تزويدها من قبل العقود الذكية ضمن الحقل `offchain_lookup_payload["urls"]`. تستخدم هذه التنفيذات عناوين URL المزودة من العقود مباشرةً (بعد استبدال القوالب {sender} و {data}) دون أي تحقق من صحة الوجهة (destination validation). ميزة CCIP Read مفعّلة افتراضياً (`global_ccip_read_enabled = True` على جميع المزودين)، مما يعني أن أي تطبيق يستخدم طريقة `.call()` في مكتبة web3.py يكون عرضة للخطر دون الحاجة إلى تفعيل صريح (opt-in). يؤدي هذا إلى ثغرة تزوير الطلبات من جانب الخادم (SSRF) عند استخدام web3.py في خدمات الخلفية (backend services)، أو المجمعّات (indexers)، أو واجهات برمجة التطبيقات (APIs)، أو أي بيئة تقوم بإجراء `eth_call` أو `.call()` ضد عناوين عقود غير موثوقة أو قدمها المستخدم. يمكن لعقد ضار إجبار عملية web3.py على إصدار طلبات HTTP إلى وجهات عشوائية، بما في ذلك خدمات الشبكة الداخلية ونقاط نهاية بيانات السحابة الإلكترونية (cloud metadata endpoints). تم إصلاح هذه الثغرة في الإصدارين 7.15.0 و 8.0.0b2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.