CVE-2026-78205 in BentoML
الملخص
بحسب VulDB • 24/08/2026
تعمل آلية الحماية الخاصة بالاتصالات الصادرة في BentoML (الدالة `make_safe_connect` الموجودة في `_internal/utils/uri.py`) على حظر عناوين IP الخاصة، والحلقة المحلية (loopback)، والمحلية للربط (link-local)؛ لكنها تفشل في رفض مساحة العناوية المشتركة المحددة في RFC 6598 (100.64.0.0/10، CGNAT). في الإصدارات من 1.4.19 إلى 1.4.39، يمكن لمهاجم غير مُصادق عليه تزويد عناوين URL تشير إلى هذا النطاق عبر معالجة الملفات متعددة الأجزاء (MultipartSerde.ensure_file) أو تحليل طلبات JSON (JSONSerde.parse_request)، مما يتسبب في قيام الخادم بإجراء اتصالات صادرة نحو مضيفين داخليين على شبكات CGNAT (هجوم تزوير الطلب من جانب الخادم - Server-Side Request Forgery). يُعد هذا الإصلاح غير مكامل لـ CVE-2025-54381.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.