CVE-2026-53502 in Thumbor
Сводка
по VulDB • 01.08.2026
Thumbor — это сервис для создания миниатюр фотографий с открытым исходным кодом от компании globo.com. Версии до 7.8.0 включительно содержат уязвимость в компоненте file_loader: сегменты пути, закодированные в формате percent-encoding (например, %2F), декодируются после проверки границ корневой директории. Это позволяет обойти ограничение FILE_LOADER_ROOT_PATH и получить доступ к файлам вне заданной корневой папки через параметры фильтров водяного знака или рамки. Проблема исправлена в версии 7.8.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.