PT-2026-40802 · Python+1 · Cpython+1

Bénédikt Tran + 1 · CVE-2026-8328 · Publicado 2026-05-13 · Atualizado 2026-08-01

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.9

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas CPython (versões afetadas não especificadas)

Descrição A função ftpcp() em Lib/ftplib.py não utiliza o endereço real do peer, confiando em vez disso no endereço do host fornecido pelo servidor durante um comando PASV. Isso ocorre porque a ftpcp() chama a parse227() diretamente e passa o endereço IP e a porta brutos, controláveis por um atacante, para target.sendport(), resultando em um Server-Side Request Forgery (SSRF), onde um servidor é enganado para fazer requisições não intencionais a recursos internos ou externos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BIT-LIBPYTHON-2026-8328

BIT-PYTHON-2026-8328

BIT-PYTHON-MIN-2026-8328

CLEANSTART-2026-AZ09261

CLEANSTART-2026-HP19968

CLEANSTART-2026-IR98353

CLEANSTART-2026-WQ85001

CVE-2026-8328

ECHO-1E9D-9CBE-8622

OESA-2026-2919

OESA-2026-2920

OPENSUSE-SU-2026:11101-1

OPENSUSE-SU-2026:11181-1

OPENSUSE-SU-2026:11285-1

OPENSUSE-SU-2026:11342-1

OPENSUSE-SU-2026:11427-1

OPENSUSE-SU-2026:11428-1

PSF-2026-24

SUSE-SU-2026:3245-1

USN-8509-1

Produtos afetados

Cpython

Linuxmint

Referências · 256

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/8xxx/CVE-2026-8328.json · Exploit
• https://github.com/python/cpython · Nota
• https://github.com/python/cpython/commit/c88704431ea3248ca769384c13856330976fac1d · Correção
• https://github.com/python/cpython/commit/eac4fe3b2c77693790a5ef7dfab127c1fee81bf9 · Correção
• https://github.com/python/cpython/commit/5dadc64673ce875ebfb24163907777dae0f6ca06 · Correção
• https://github.com/python/cpython/commit/7d95a1dc7382b55cba7fdd6a110336077584a4f0 · Correção
• https://github.com/python/cpython/issues/87451 · Nota
• https://github.com/python/cpython/pull/149648 · Correção
• https://github.com/python/cpython/commit/bb3446dda6c49b32e67c11dbbbf221b40be00763 · Correção
• https://github.com/python/cpython/commit/2bbcf3fb7a420a05605576c0f9468d4675381b5f · Correção
• https://github.com/python/cpython/commit/ef12d0dc824baccf737bba1458e5eed3d1e0fceb · Correção
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-WQ85001.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-IR98353.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-HP19968.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-AZ09261.json · Nota