p PatchFirst

CVE-2026-53500

CVE-2026-53500 · Thumbor treats ALLOWED_SOURCES string patterns as unescaped regex, allowing hostname bypass via wildcard dot

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, the ALLOWED_SOURCES configuration passes plain strings to re.match() without escaping dots, so a hostname differing at dot positions can match the allowlist. This issue is fixed in 7.8.0.

CVSS 8.2 · Alta · EPSS 0,5% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • thumbor

    Versiones
    • < 7.8.0: Afectada

    Sin corrección publicada

  • thumbor Debian:14

    Versiones
    • 6.3.2-3
    • 6.3.2-4
    • 6.5.1-1
    • 6.5.1-2
    • 6.5.1-3
    • 6.5.1-4
    • 6.5.1-5
    • 6.5.1-6
    • 6.5.1-7
    • 6.7.0-1
    • 7.7.7-1
    • 7.7.7-2
    • 7.7.7-3
    • 7.7.7-4
    • 7.7.7-5
    • 7.7.7-6
    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.8.0-1

    Actualiza a 7.8.0-1

  • thumbor PyPI

    Versiones
    • 4.1.3
    • 4.10.0
    • 4.10.1
    • 4.10.2
    • 4.10.3
    • 4.11.0
    • 4.11.1
    • 4.12.0
    • 4.12.1
    • 4.12.2
    • 4.4.1
    • 4.5.3
    • 4.5.4
    • 4.6.0
    • 4.7.0
    • 4.7.1
    • 4.8.0
    • 4.8.1
    • 4.8.2
    • 4.8.3
    • 4.8.4
    • 4.8.5
    • 4.8.6
    • 4.9.0
    • 4.9.1
    • 5.0.0
    • 5.0.0rc1
    • 5.0.0rc2
    • 5.0.1
    • 5.0.2
    • 5.0.3
    • 5.0.4
    • 5.0.5
    • 5.0.6
    • 5.1.0
    • 5.2.0
    • 5.2.1
    • 6.0.0
    • 6.0.0b1
    • 6.0.0b2
    • 6.0.0b3
    • 6.0.0b4
    • 6.0.0b5
    • 6.0.1
    • 6.0.2
    • 6.1.0
    • 6.1.1
    • 6.1.2
    • 6.1.3
    • 6.1.4
    • 6.1.5
    • 6.2.0
    • 6.2.1
    • 6.3.0
    • 6.3.1
    • 6.3.2
    • 6.4.0
    • 6.4.1
    • 6.4.2
    • 6.4.3
    • 6.5.0
    • 6.5.1
    • 6.5.2
    • 6.6.0
    • 6.6.1
    • 6.7.0
    • 6.7.1
    • 6.7.2
    • 6.7.3
    • 6.7.4
    • 6.7.5
    • 6.7.6
    • 7.0.0
    • 7.0.0a1
    • 7.0.0a2
    • 7.0.0a3
    • 7.0.0a4
    • 7.0.0a5
    • 7.0.0b1
    • 7.0.1
    • 7.0.10
    • 7.0.11
    • 7.0.12
    • 7.0.2
    • 7.0.3
    • 7.0.5
    • 7.0.6
    • 7.0.7
    • 7.0.8
    • 7.0.9
    • 7.1.0
    • 7.1.1
    • 7.1.2
    • 7.2.0
    • 7.2.1
    • 7.3.0
    • 7.3.1
    • 7.3.2
    • 7.4.0
    • 7.4.1
    • 7.4.2
    • 7.4.3
    • 7.4.4
    • 7.4.5
    • 7.4.6
    • 7.4.7
    • 7.5.0
    • 7.5.1
    • 7.5.2
    • 7.6.0
    • 7.7.0
    • 7.7.1
    • 7.7.2
    • 7.7.3
    • 7.7.4
    • 7.7.5
    • 7.7.6
    • 7.7.7
    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.8.0

    Actualiza a 7.8.0

  • thumbor Ubuntu:26.04:LTS

    Versiones
    • 7.7.7-4
    • 7.7.7-5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →