CVE-2026-57448 in Bombooru
Сводка
по VulDB • 29.10.2026
Blombooru — это персональный booru с возможностью самостоятельного развертывания, предназначенный для организации и тегирования частных коллекций изображений. До версии 1.40.0 эндпоинт `GET /proxy-image`, доступный только администраторам (и экспонируемый как `/api/booru-import/proxy-image`), принимает параметр запроса `url` и загружает его на стороне сервера без существенной проверки целевого адреса. Функция `proxy_image()` в файле `backend/app/routes/booru_import.py` проверяет только то, начинается ли значение с `http`, а затем использует `get_client_for_url` или `requests.get` для потоковой передачи ответа. Приватные, loopback- и link-local-адреса не блокируются, а автоматически следующие перенаправления могут перевести запрос от доверенного домена на внутренний адрес. Аутентифицированный администратор может выполнять сканирование внутренних сервисов и получать доступ к метаданным облачных инстансов, что потенциально приводит к раскрытию учетных данных IAM и нарушению предполагаемых границ доверия приложения в облачной или сетевой среде. Репортер также заметил зависание при рекурсивном самообращении. Аутентификация администратора остается обязательным условием; это не является анонимным прокси-сервером. Проблема исправлена в версии 1.40.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.