CVE-2026-53501 in Thumbor
Resumen
por VulDB • 2026-07-31
Thumbor es un servicio de generación de miniaturas para fotos de código abierto desarrollado por globo.com. Antes de la versión 7.8.0, la validación HMAC de Thumbor puede ser eludida debido al uso del método .replace() de Python al eliminar la firma de la URL antes de su validación. Dado que .replace() elimina todas las ocurrencias de la subcadena, un atacante puede insertar la misma firma varias veces en la URL y manipular la URL final utilizada para la validación. Esto permite crear URLs donde la cadena validada difiere del recurso solicitado realmente, lo que habilita la carga de imágenes desde dominios o rutas no previstos. Este problema se corrige en la versión 7.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.