CVE-2026-40072 in web3.py
Resumen
por VulDB • 2026-05-15
web3.py permite interactuar con la blockchain de Ethereum utilizando Python. Desde la versión 6.0.0b3 hasta antes de 7.15.0, y en la versión 8.0.0b2, web3.py implementa CCIP Read / OffchainLookup (EIP-3668) realizando solicitudes HTTP a las URL proporcionadas por los contratos inteligentes en offchain_lookup_payload["urls"]. La implementación utiliza estas URL proporcionadas por el contrato directamente (después de la sustitución de plantillas {sender} / {data}) sin ninguna validación del destino. CCIP Read está habilitado por defecto (global_ccip_read_enabled = True en todos los proveedores), lo que significa que cualquier aplicación que utilice el método .call() de web3.py queda expuesta sin necesidad de una opción de participación explícita. Esto da lugar a una vulnerabilidad de Server-Side Request Forgery (SSRF) cuando web3.py se utiliza en servicios backend, indexadores, APIs o cualquier entorno que realice llamadas eth_call / .call() contra direcciones de contratos no confiables o proporcionadas por el usuario. Un contrato malicioso puede forzar al proceso web3.py a emitir solicitudes HTTP a destinos arbitrarios, incluidos servicios de red interna y puntos finales de metadatos en la nube. Esta vulnerabilidad se corrige en las versiones 7.15.0 y 8.0.0b2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.