CVE-2026-78205 in BentoML
요약
\~에 의해 VulDB • 2026. 08. 24.
BentoML의 외부 연결 보호 기능(_internal/utils/uri.py에 있는 make_safe_connect)은 프라이빗, 루프백 및 링크 로컬 IP 주소를 차단하지만 RFC 6598 공유 주소 공간(100.64.0.0/10, CGNAT)을 거부하지는 못합니다. 버전 1.4.19부터 1.4.39까지에서 인증되지 않은 공격자는 multipart 파일 처리(MultipartSerde.ensure_file) 또는 JSON 요청 파싱(JSONSerde.parse_request)을 통해 해당 범위를 가리키는 URL을 제공하여 서버가 CGNAT 네트워크의 내부 호스트에 외부 연결을 수행하도록 할 수 있습니다(Server-Side Request Forgery). 이는 CVE-2025-54381에 대한 불완전한 수정입니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.