p PatchFirst

CVE-2026-53501

CVE-2026-53501 · Thumbor has HMAC validation bypass via multiple .replace() calls when removing URL signature

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, Thumbor’s HMAC validation can be bypassed due to the use of Python’s .replace() when removing the signature from the URL before validation. Since .replace() removes all occurrences of the substring, an attacker can insert the same signature multiple times in the URL and manipulate the final URL used for validation. This allows crafting URLs where the validated string differs from the actual requested resource, enabling loading images from unintended domains or paths. This issue is fixed in 7.8.0.

CVSS 8.2 · Alta · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • thumbor

    Versiones
    • < 7.8.0: Afectada

    Sin corrección publicada

  • thumbor Debian:14

    Versiones
    • 6.3.2-3
    • 6.3.2-4
    • 6.5.1-1
    • 6.5.1-2
    • 6.5.1-3
    • 6.5.1-4
    • 6.5.1-5
    • 6.5.1-6
    • 6.5.1-7
    • 6.7.0-1
    • 7.7.7-1
    • 7.7.7-2
    • 7.7.7-3
    • 7.7.7-4
    • 7.7.7-5
    • 7.7.7-6
    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.8.0-1

    Actualiza a 7.8.0-1

  • thumbor PyPI

    Versiones
    • 4.1.3
    • 4.10.0
    • 4.10.1
    • 4.10.2
    • 4.10.3
    • 4.11.0
    • 4.11.1
    • 4.12.0
    • 4.12.1
    • 4.12.2
    • 4.4.1
    • 4.5.3
    • 4.5.4
    • 4.6.0
    • 4.7.0
    • 4.7.1
    • 4.8.0
    • 4.8.1
    • 4.8.2
    • 4.8.3
    • 4.8.4
    • 4.8.5
    • 4.8.6
    • 4.9.0
    • 4.9.1
    • 5.0.0
    • 5.0.0rc1
    • 5.0.0rc2
    • 5.0.1
    • 5.0.2
    • 5.0.3
    • 5.0.4
    • 5.0.5
    • 5.0.6
    • 5.1.0
    • 5.2.0
    • 5.2.1
    • 6.0.0
    • 6.0.0b1
    • 6.0.0b2
    • 6.0.0b3
    • 6.0.0b4
    • 6.0.0b5
    • 6.0.1
    • 6.0.2
    • 6.1.0
    • 6.1.1
    • 6.1.2
    • 6.1.3
    • 6.1.4
    • 6.1.5
    • 6.2.0
    • 6.2.1
    • 6.3.0
    • 6.3.1
    • 6.3.2
    • 6.4.0
    • 6.4.1
    • 6.4.2
    • 6.4.3
    • 6.5.0
    • 6.5.1
    • 6.5.2
    • 6.6.0
    • 6.6.1
    • 6.7.0
    • 6.7.1
    • 6.7.2
    • 6.7.3
    • 6.7.4
    • 6.7.5
    • 6.7.6
    • 7.0.0
    • 7.0.0a1
    • 7.0.0a2
    • 7.0.0a3
    • 7.0.0a4
    • 7.0.0a5
    • 7.0.0b1
    • 7.0.1
    • 7.0.10
    • 7.0.11
    • 7.0.12
    • 7.0.2
    • 7.0.3
    • 7.0.5
    • 7.0.6
    • 7.0.7
    • 7.0.8
    • 7.0.9
    • 7.1.0
    • 7.1.1
    • 7.1.2
    • 7.2.0
    • 7.2.1
    • 7.3.0
    • 7.3.1
    • 7.3.2
    • 7.4.0
    • 7.4.1
    • 7.4.2
    • 7.4.3
    • 7.4.4
    • 7.4.5
    • 7.4.6
    • 7.4.7
    • 7.5.0
    • 7.5.1
    • 7.5.2
    • 7.6.0
    • 7.7.0
    • 7.7.1
    • 7.7.2
    • 7.7.3
    • 7.7.4
    • 7.7.5
    • 7.7.6
    • 7.7.7
    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.8.0

    Actualiza a 7.8.0

  • thumbor Ubuntu:26.04:LTS

    Versiones
    • 7.7.7-4
    • 7.7.7-5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →