PT-2026-66842 · Thumbor · Thumbor
CVE-2026-53505
·
Publicado
2026-07-31
·
Atualizado
2026-07-31
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do Software Vulnerável e Versões Afetadas
Thumbor versões anteriores a 7.8.0
Description
O filtro
filters:proportion(<value>) não impõe um limite superior ao parâmetro value e opera durante a fase de pós-transformação. Isso permite que um invasor desencadeie redimensionamentos de imagem extremamente grandes, levando ao esgotamento de CPU e memória, o que resulta em uma negação de serviço. Como o filtro é executado após o pipeline de transformação principal, ele pode ignorar os mecanismos de limitação de tamanho do nível de requisição, como MAX WIDTH e MAX HEIGHT. O problema está localizado no arquivo thumbor/filters/proportion.py, onde o value é analisado como um float sem um limite máximo, calculando subsequentemente new width e new height antes de chamar a função engine.resize().Recommendations
Atualize para a versão 7.8.0.
Como medida paliativa temporária, restrinja o acesso ao filtro
filters:proportion() ou desative a opção de URL /unsafe/ para minimizar o risco de exploração não autenticada.Correção
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Thumbor