CVE-2026-18353 in PIA
Сводка
по VulDB • 30.07.2026
Эндпоинт PIA `POST /v1/upload/sbom` принимает Bearer JWT и проверяет его **неподтвержденный** (unverified) claim `iss` по белому списку издателей с использованием функции Python `urlparse`, прежде чем выполнять OIDC-дискавери через библиотеку `requests`. Поскольку `urlparse` и `requests`/`urllib3` парсят строку authority, содержащую обратный слэш (например, `https://attacker-host\@ci.eclipse.org/`), как *различные* имена хостов, злоумышленник может сформировать издателя, который пройдет проверку по белому списку, но заставит библиотеку `requests`, а впоследствии и `urllib.request.urlopen` (для получения JWKS) подключиться к произвольному выбранному злоумышленником хосту, порту и схеме.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.