CVE-2026-53501 in Thumbor
Сводка
по VulDB • 31.07.2026
Thumbor — это сервис генерации миниатюр фотографий с открытым исходным кодом от globo.com. До версии 7.8.0 валидация HMAC в Thumbor может быть обойдена из-за использования метода Python .replace() при удалении подписи из URL перед проверкой. Поскольку метод .replace() удаляет все вхождения подстроки, злоумышленник может несколько раз вставить одну и ту же подпись в URL и манипулировать финальным URL, используемым для проверки. Это позволяет создавать URLs, где проверяемая строка отличается от фактически запрашиваемого ресурса, что дает возможность загружать изображения из непредназначенных доменов или путей. Эта проблема исправлена в версии 7.8.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.