PT-2026-40802 · Python · Cpython

Bénédikt Tran + 1 · Publicado 2026-05-13 · Atualizado 2026-06-10 · CVE-2026-8328

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.9

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas CPython (versões afetadas não especificadas)

Descrição A função ftpcp() em Lib/ftplib.py não utiliza o endereço real do peer, confiando em vez disso no endereço do host fornecido pelo servidor durante um comando PASV. Isso ocorre porque a ftpcp() chama a parse227() diretamente e passa o endereço IP e a porta brutos, controláveis por um atacante, para target.sendport(), resultando em um Server-Side Request Forgery (SSRF), onde um servidor é enganado para fazer requisições não intencionais a recursos internos ou externos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BIT-LIBPYTHON-2026-8328

BIT-PYTHON-2026-8328

BIT-PYTHON-MIN-2026-8328

CVE-2026-8328

ECHO-1E9D-9CBE-8622

PSF-2026-24

Produtos afetados

Cpython

Referências · 25

• https://github.com/python/cpython/commit/eac4fe3b2c77693790a5ef7dfab127c1fee81bf9 · Correção
• https://github.com/python/cpython/commit/bb3446dda6c49b32e67c11dbbbf221b40be00763 · Correção
• https://github.com/python/cpython/commit/c88704431ea3248ca769384c13856330976fac1d · Correção
• https://github.com/python/cpython/commit/7d95a1dc7382b55cba7fdd6a110336077584a4f0 · Correção
• https://github.com/python/cpython/commit/5dadc64673ce875ebfb24163907777dae0f6ca06 · Correção
• https://github.com/python/cpython/issues/87451 · Nota
• https://github.com/python/cpython/pull/149648 · Correção
• https://twitter.com/CVEnew/status/2054709225411219726 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-8328 · Aviso do Fabricante
• https://twitter.com/oss_security/status/2055177339017773090 · Publicação no Twitter
• https://mail.python.org/archives/list/[e-mail]/thread/ITF2BAPBQEPYK3LDMPRSY435JGNHYNDP · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-python-2026-8328 · Aviso do Fabricante
• https://osv.dev/vulnerability/PSF-0000-CVE-2026-8328 · Aviso do Fabricante
• https://t.me/CVEtracker/53682 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2026-8328 · Aviso do Fabricante