CVE-2026-53503 in Thumbor
Zusammenfassung
von VulDB • 31.07.2026
Thumbor ist ein Open-Source-Dienst zur Erstellung von Foto-Thumbnails von globo.com. Vor Version 7.8.0 übergibt der Filter `filters:convolution(<matrix>, <columns>, <should_normalize>)` in Thumbor den benutzerkontrollierten Wert `<columns>` an eine C-Erweiterung (thumbor/ext/filters/_convolution.c), wo er als Divisor für die Operatoren `%` und `/` verwendet wird, ohne zu überprüfen, ob `columns > 0` ist. Wenn `columns=0` gesetzt ist, löst der C-Code ein undefiniertes Verhalten aus; auf x86_64-Architekturen führt dies zuverlässig zu einem fatalen Divide-by-Zero-Fehler (SIGFPE) und zum Absturz des Thumbor-Prozesses, was einen Remote-Deny-of-Service-Angriff ermöglicht. Dieses Problem wurde in Version 7.8.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.