CVE-2026-53501 in Thumbor
Riassunto
di VulDB • 01/08/2026
Thumbor è un servizio open-source per la generazione di miniature fotografiche sviluppato da globo.com. Prima della versione 7.8.0, la convalida HMAC di Thumbor può essere aggirata a causa dell'uso del metodo .replace() di Python durante la rimozione della firma dall'URL prima della validazione. Poiché .replace() rimuove tutte le occorrenze della sottostringa, un attaccante può inserire la stessa firma più volte nell'URL e manipolare l'URL finale utilizzato per la convalida. Ciò consente di creare URL in cui la stringa convalidata differisce dalla risorsa effettivamente richiesta, consentendo il caricamento di immagini da domini o percorsi non previsti. Questo problema è stato risolto nella versione 7.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.