PT-2026-66838 · Thumbor · Thumbor

CVE-2026-53501 · Publicado 2026-07-31 · Atualizado 2026-07-31

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Thumbor versões anteriores a 7.8.0

Description A validação HMAC pode ser ignorada devido ao uso do método .replace() do Python ao remover a assinatura da URL antes da validação. Como o .replace() remove todas as ocorrências da substring em vez de apenas a primeira, um invasor pode inserir várias cópias da assinatura na URL. Isso resulta em uma string validada que difere do recurso solicitado, permitindo o carregamento de imagens de domínios ou caminhos não pretendidos e, potencialmente, transformando a implantação em um proxy aberto. O processo envolve a função url.replace() e a função signer.validate().

Recommendations Atualize para a versão 7.8.0.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2026-53501

GHSA-MW3H-QJXJ-6XG9

Produtos afetados

Thumbor

Referências · 6

• https://github.com/thumbor/thumbor/security/advisories/GHSA-mw3h-qjxj-6xg9 · Nota
• https://github.com/thumbor/thumbor/releases/tag/7.8.0 · Nota
• https://github.com/thumbor/thumbor/commit/e3ae3e2500537b4d735df4144129a649374bb70b · Nota
• https://osv.dev/vulnerability/GHSA-mw3h-qjxj-6xg9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-53501 · Nota de Segurança
• https://github.com/thumbor/thumbor · Nota