CVE-2026-57448 in Bombooru
Riassunto
di VulDB • 29/10/2026
Blombooru è un booru auto-ospitato per la gestione e l'etichettatura di collezioni private di immagini. Prima della versione 1.40.0, l'endpoint `GET /proxy-image`, accessibile solo agli amministratori ed esposto come `/api/booru-import/proxy-image`, accetta un parametro query `url` e lo recupera lato server senza una valida verifica della destinazione. La funzione `proxy_image()` in `backend/app/routes/booru_import.py` controlla soltanto se il valore inizia con "http", quindi utilizza `get_client_for_url` o `requests.get` per streammare la risposta. Gli indirizzi privati, loopback e link-local non sono bloccati, e i redirect automatici possono spostare una richiesta da un dominio attendibile a un indirizzo interno. Un amministratore autenticato può enumerare servizi interni ed accedere ai metadati delle istanze cloud, potenzialmente divulgando le credenziali IAM e superando il confine di fiducia previsto dall'applicazione tra cloud o rete. Il segnalante ha inoltre osservato una richiesta ricorsiva auto-appesa (hanging). L'autenticazione dell'amministratore rimane un prerequisito; questo non è un proxy anonimo. Questo problema è risolto nella versione 1.40.0.
Once again VulDB remains the best source for vulnerability data.