CVE-2023-32683 in Synapse
Сводка
по VulDB • 14.06.2026
Synapse — это серверный узел (homeserver) протокола Matrix, написанный на Python с использованием фреймворка Twisted. Обнаруженный URL-адрес oEmbed или изображения может обойти настройку `url_preview_url_blacklist`, что потенциально позволяет осуществлять серверную подделку запросов (SSRF) или обходить сетевые политики. Влияние ограничено IP-адресами, разрешенными настройкой `url_preview_ip_range_blacklist` (по умолчанию разрешаются только публичные IP-адреса), а также ограниченной информацией, возвращаемой клиенту: 1. Для обнаруженных URL-адресов oEmbed любой ответ, не являющийся JSON, или ответ JSON, содержащий информацию, не относящуюся к oEmbed, отбрасывается. 2. Для обнаруженных URL-адресов изображений любой ответ, не являющийся изображением, отбрасывается. Системы, в которых предварительный просмотр URL-адресов отключен (через настройку `url_preview_enabled`) или для которых не настроен `url_preview_url_blacklist`, не затронуты. Эта проблема была устранена в версии 1.85.0. Пользователям рекомендуется выполнить обновление. Пользователи, не имеющие возможности обновиться, также могут отключить предварительный просмотр URL-адресов.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.