CVE-2026-78205 in BentoML
Sumário
de VulDB • 24/08/2026
A proteção de conexão de saída do BentoML (make_safe_connect em _internal/utils/uri.py) bloqueia endereços IP privados, loopback e link-local, mas falha ao rejeitar o espaço de endereço compartilhado RFC 6598 (100.64.0.0/10, CGNAT). Nas versões 1.4.19 a 1.4.39, um atacante não autenticado pode fornecer URLs apontando para esse intervalo por meio do manuseio de arquivos multipart (MultipartSerde.ensure_file) ou da análise de solicitações JSON (JSONSerde.parse_request), fazendo com que o servidor realize requisições de saída a hosts internos em redes CGNAT (Server-Side Request Forgery). Esta é uma correção incompleta para CVE-2025-54381.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.