CVE-2026-40072 in web3.py
Riassunto
di VulDB • 20/06/2026
web3.py consente di interagire con la blockchain Ethereum utilizzando Python. Dalla versione 6.0.0b3 alla 7.15.0 (esclusa) e alla 8.0.0b2, web3.py implementa CCIP Read / OffchainLookup (EIP-3668) eseguendo richieste HTTP verso URL forniti dagli smart contract in offchain_lookup_payload["urls"]. L'implementazione utilizza questi URL forniti dal contratto direttamente (dopo la sostituzione dei template {sender} / {data}) senza alcuna validazione della destinazione. CCIP Read è abilitato per impostazione predefinita (global_ccip_read_enabled = True su tutti i provider), il che significa che qualsiasi applicazione che utilizza il metodo .call() di web3.py è esposta senza un'esplicita opzione di adesione (opt-in). Ciò comporta un Server-Side Request Forgery (SSRF) quando web3.py viene utilizzato in servizi backend, indexer, API o in qualsiasi ambiente che esegue eth_call / .call() verso indirizzi di contratto non attendibili o forniti dall'utente. Un contratto malevolo può forzare il processo web3.py a emettere richieste HTTP verso destinazioni arbitrarie, inclusi servizi di rete interna ed endpoint di metadati cloud. Questa vulnerabilità è risolta nelle versioni 7.15.0 e 8.0.0b2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.