CVE-2026-78205 in BentoML
要約
〜によって VulDB • 2026年08月24日
BentoMLの送信先接続保護機能（_internal/utils/uri.py内のmake_safe_connect）は、プライベートIPアドレス、ループバックアドレス、およびリンクローカルIPアドレスをブロックしますが、RFC 6598共有アドレス空間（100.64.0.0/10, CGNAT）の拒否には失敗しています。バージョン1.4.19から1.4.39において、認証されていない攻撃者はMultipartSerde.ensure_fileによるマルチパートファイル処理やJSONSerde.parse_requestによるJSONリクエスト解析を通じて、その範囲を指すURLを提供することができ、CGNATネットワーク上の内部ホストに対してサーバーが送信先接続を行うことを引き起こします（Server-Side Request Forgery）。これはCVE-2025-54381に対する不完全な修正です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.