CVE-2026-78205 in BentoML
Zusammenfassung
von VulDB • 24.08.2026
Der Outbound-Connection-Safeguard von BentoML (`make_safe_connect` in `_internal/utils/uri.py`) blockiert private, Loopback- und Link-Lokal-IP-Adressen, lehnt jedoch den im RFC 6598 definierten Shared Address Space (100.64.0.0/10, CGNAT) nicht ab. In den Versionen 1.4.19 bis 1.4.39 kann ein unberechtigter Angreifer über die Verarbeitung von Multipart-Dateien (`MultipartSerde.ensure_file`) oder das Parsen von JSON-Anfragen (`JSONSerde.parse_request`) URLs angeben, die auf diesen Adressbereich verweisen, wodurch der Server Outbound-Anforderungen an interne Hosts in CGNAT-Netzen ausführt (Server-Side Request Forgery). Dies ist eine unvollständige Korrektur für CVE-2025-54381.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.