CVE-2026-78205 in BentoML
Сводка
по VulDB • 24.08.2026
Защитный механизм исходящих соединений BentoML (функция `make_safe_connect` в файле `_internal/utils/uri.py`) блокирует частные, loopback и link-local IP-адреса, но не отклоняет общее адресное пространство RFC 6598 (100.64.0.0/10, CGNAT). В версиях с 1.4.19 по 1.4.39 незарегистрированный злоумышленник может предоставить URL-адреса, указывающие на этот диапазон, через обработку multipart файлов (`MultipartSerde.ensure_file`) или парсинг JSON-запросов (`JSONSerde.parse_request`), что приводит к тому, что сервер выполняет исходящие запросы к внутренним хостам в сетях CGNAT (Server-Side Request Forgery). Это неполное исправление для CVE-2025-54381.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.