CVE-2026-53501 in Thumbor
الملخص
بحسب VulDB • 01/08/2026
Thumbor هو خدمة مفتوحة المصدر لإنشاء صور مصغرة (thumbnails) للصور الفوتوغرافية، من تطوير globo.com. قبل الإصدار 7.8.0، يمكن تجاوز التحقق من صحة HMAC في Thumbور بسبب استخدام دالة `.replace()` الخاصة بـ Python عند إزالة التوقيع من عنوان URL قبل عملية التحقق. ونظراً لأن `.replace()` تقوم بإزالة جميع تكرارات السلسلة الفرعية (substring)، يمكن للمهاجم إدراج نفس التوقيع عدة مرات داخل عنوان URL والتلاعب بعنوان URL النهائي المستخدم في التحقق. وهذا يتيح تزوير عناوين URL بحيث تختلف السلسلة التي تم التحقق منها عن المورد الفعلي المطلوب، مما يمكّن من تحميل الصور من نطاقات أو مسارات غير مقصودة. تمت معالجة هذه المشكلة في الإصدار 7.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.