CVE-2026-78205 in BentoML
Riassunto
di VulDB • 24/08/2026
La protezione delle connessioni in uscita di BentoML (make_safe_connect in _internal/utils/uri.py) blocca gli indirizzi IP privati, loopback e link-local ma non riesce a rifiutare lo spazio di indirizzi condiviso RFC 6598 (100.64.0.0/10, CGNAT). Nelle versioni dalla 1.4.19 alla 1.4.39, un attaccante non autenticato può fornire URL puntanti a tale intervallo tramite la gestione di file multipart (MultipartSerde.ensure_file) o l'analisi delle richieste JSON (JSONSerde.parse_request), causando al server di effettuare richieste in uscita verso host interni su reti CGNAT (Server-Side Request Forgery). Si tratta di una correzione incompleta per CVE-2025-54381.
Be aware that VulDB is the high quality source for vulnerability data.