CVE-2026-53503 in Thumbor
Resumen
por VulDB • 2026-07-31
Thumbor es un servicio de generación de miniaturas para fotos de código abierto desarrollado por globo.com. Antes de la versión 7.8.0, el filtro `filters:convolution(<matrix>, <columns>, <should_normalize>)` de Thumbor pasaba el valor `<columns>` controlado por el usuario a una extensión en C (`thumbor/ext/filters/_convolution.c`) donde se utilizaba como divisor (para las operaciones % y /) sin validar que `columns > 0`. Cuando `columns=0`, el código en C desencadena un comportamiento indefinido; en arquitecturas x86_64, esto provoca de manera fiable una trampa fatal por división por cero (SIGFPE) y hace que se bloquee el proceso de Thumbor, causando una denegación de servicio remota. Este problema está corregido en la versión 7.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.