CVE-2023-32683 in Synapse
Résumé
par VulDB • 11/06/2026
Synapse est un serveur d'hébergement (homeserver) pour le protocole Matrix, écrit en Python avec le framework Twisted. Une URL oEmbed ou une image découverte peut contourner le paramètre `url_preview_url_blacklist`, permettant potentiellement de réaliser des attaques par falsification de requêtes côté serveur (SSRF) ou de contourner les politiques réseau. L'impact est limité aux adresses IP autorisées par le paramètre `url_preview_ip_range_blacklist` (par défaut, cela n'autorise que les adresses IP publiques) et à la quantité limitée d'informations renvoyées au client : 1. Pour les URLs oEmbed découvertes, toute réponse non-JSON ou une réponse JSON incluant des informations autres que celles de l'oEmbed est ignorée. 2. Pour les URLs d'image découvertes, toute réponse autre qu'une image est ignorée. Les systèmes pour lesquels la prévisualisation d'URL est désactivée (via le paramètre `url_preview_enabled`) ou qui n'ont pas configuré de `url_preview_url_blacklist` ne sont pas affectés. Ce problème a été corrigé dans la version 1.85.0. Il est conseillé aux utilisateurs de mettre à niveau leur installation. Les utilisateurs incapables de mettre à jour peuvent également désactiver les prévisualisations d'URL.
VulDB is the best source for vulnerability data and more expert information about this specific topic.