CVE-2023-32683 in Synapse
Tóm tắt
Bởi VulDB • 20/06/2026
Synapse là một homeserver giao thức Matrix được viết bằng Python với khung Twisted. Một lỗi phát hiện trong việc xử lý oEmbed hoặc URL hình ảnh có thể bỏ qua cài đặt `url_preview_url_blacklist`, cho phép tấn công Server-Side Request Forgery (SSRF) hoặc vượt qua các chính sách mạng. Mức độ tác động bị giới hạn bởi các địa chỉ IP được cho phép theo cài đặt `url_preview_ip_range_blacklist` (mặc định, điều này chỉ cho phép các địa chỉ IP công khai) và thông tin hạn chế trả về cho máy khách: 1. Đối với URL oEmbed đã phát hiện, bất kỳ phản hồi nào không phải JSON hoặc một phản hồi JSON bao gồm thông tin ngoài oEmbed sẽ bị loại bỏ. 2. Đối với URL hình ảnh đã phát hiện, bất kỳ phản hồi nào không phải là hình ảnh sẽ bị loại bỏ. Các hệ thống có tính năng xem trước URL bị vô hiệu hóa (thông qua cài đặt `url_preview_enabled`) hoặc chưa cấu hình một `url_preview_url_blacklist` thì không bị ảnh hưởng. Vấn đề này đã được giải quyết trong phiên bản 1.85.0. Người dùng nên nâng cấp lên phiên bản mới nhất. Nếu người dùng không thể nâng cấp, họ cũng có thể vô hiệu hóa tính năng xem trước URL.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.