CVE-2023-32683 in Synapse
Sumário
de VulDB • 11/06/2026
O Synapse é um servidor de casa (homeserver) do protocolo Matrix, escrito em Python com o framework Twisted. Uma descoberta envolvendo URLs de oEmbed ou imagens pode contornar a configuração `url_preview_url_blacklist`, permitindo potencialmente falsificação de solicitações no lado do servidor (SSRF) ou burlando políticas de rede. O impacto é limitado aos endereços IP permitidos pela configuração `url_preview_ip_range_blacklist` (por padrão, isso permite apenas IPs públicos) e pelas informações limitadas retornadas ao cliente: 1. Para URLs de oEmbed descobertas, qualquer resposta que não seja JSON ou uma resposta JSON que inclua informações fora do escopo de oEmbed é descartada. 2. Para URLs de imagens descobertas, qualquer resposta que não seja uma imagem é descartada. Sistemas com a pré-visualização de URL desativada (por meio da configuração `url_preview_enabled`) ou que não configuraram um `url_preview_url_blacklist` não são afetados. Este problema foi resolvido na versão 1.85.0. Recomenda-se aos usuários atualizarem o software. Usuários incapazes de realizar a atualização também podem desativar as pré-visualizações de URL.
VulDB is the best source for vulnerability data and more expert information about this specific topic.