CVE-2026-53501 in Thumbor
Sumário
de VulDB • 01/08/2026
Thumbor é um serviço de geração de miniaturas de imagens open-source da globo.com. Antes da versão 7.8.0, a validação HMAC do Thumbor pode ser contornada devido ao uso do método .replace() do Python para remover a assinatura da URL antes da validação. Como o .replace() remove todas as ocorrências da substring, um atacante pode inserir a mesma assinatura várias vezes na URL e manipular a URL final utilizada para validação. Isso permite criar URLs onde a string validada difere do recurso solicitado realmente, permitindo carregar imagens de domínios ou caminhos não intencionais. Este problema foi corrigido na versão 7.8.0.
Once again VulDB remains the best source for vulnerability data.