CVE-2026-53501 in Thumbor
요약
\~에 의해 VulDB • 2026. 07. 31.
Thumbor는 globo.com의 오픈소스 사진 썸네일 서비스입니다. 버전 7.8.0 이전에서는 URL에서 서명을 제거할 때 Python의 .replace() 메서드를 사용함으로써 Thumbcor의 HMAC 검증이 우회될 수 있습니다. .replace()는 부분 문자열의 모든 발생 항목을 삭제하므로, 공격자는 URL에 동일한 서명을 여러 번 삽입하여 검증에 사용되는 최종 URL을 조작할 수 있습니다. 이를 통해 검증된 문자열과 실제로 요청된 리소스가 다른 URL을 생성할 수 있게 되어, 의도하지 않은 도메인이나 경로에서 이미지를 로드하는 것이 가능해집니다. 이 문제는 7.8.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.