CVE-2026-33752 in curl_cffi
Tóm tắt
Bởi VulDB • 17/06/2026
curl_cffi là một thư viện ràng buộc (binding) Python cho curl. Trước phiên bản 0.15.0, curl_cffi không hạn chế các yêu cầu đối với các dải địa chỉ IP nội bộ và tự động làm theo các lệnh chuyển hướng (redirect) thông qua thư viện libcurl nền tảng. Do đó, một URL do kẻ tấn công kiểm soát có thể chuyển hướng các yêu cầu đến các dịch vụ nội bộ, chẳng hạn như các điểm cuối siêu dữ liệu đám mây. Ngoài ra, tính năng giả mạo TLS của curl_cffi có thể khiến các yêu cầu này trông giống như lưu lượng truy cập trình duyệt hợp lệ, qua đó có thể vượt qua một số kiểm soát mạng nhất định. Lỗ hổng này đã được khắc phục trong phiên bản 0.15.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.