p PatchFirst

CVE-2025-32013

CVE-2025-32013 · Server-Side Request Forgery via LNURL Authentication Callback in LNbits Lightning Network Payment System

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

LNbits is a Lightning wallet and accounts system. A Server-Side Request Forgery (SSRF) vulnerability has been discovered in LNbits' LNURL authentication handling functionality. When processing LNURL authentication requests, the application accepts a callback URL parameter and makes an HTTP request to that URL using the httpx library with redirect following enabled. The application doesn't properly validate the callback URL, allowing attackers to specify internal network addresses and access internal resources.

CVSS 9.3 · Critique · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • lnbits

    Versions du logiciel
    • <= 0.12.12: Concernée

    Aucun correctif publié

  • lnbits PyPI

    Versions du logiciel
    • 0.10.3.dev1
    • 0.12.10
    • 0.12.11
    • 0.12.12
    • 0.12.12rc1
    • 0.12.6
    • 0.12.7
    • 0.12.8
    • 0.12.9
    Plages de versions concernées
    • ECOSYSTEM: ≤ 0.12.12

    Aucun correctif publié

  • lnbits PyPI

    Versions du logiciel
    • 0.10.3.dev1
    • 0.12.10
    • 0.12.11
    • 0.12.12rc1
    • 0.12.6
    • 0.12.7
    • 0.12.8
    • 0.12.9
    Plages de versions concernées
    • ECOSYSTEM: < 0.12.12

    Mettez à jour vers 0.12.12

Sources originales

Vérifiez votre serveur →