p PatchFirst

CVE-2026-53504

CVE-2026-53504 · Thumbor has Regex Denial of Service (ReDoS) in `convolution` filter

This page contains facts from public vulnerability sources. Check the original advisory before updating.

Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, the convolution filter regular expression performs exponential backtracking on crafted repeated numeric input, allowing a URL request to exhaust processing time. This issue is fixed in 7.8.0.

CVSS 7.5 · High · EPSS 0.6% · Fix available

Published
Updated

Stack: system · python

Affected products and versions

  • thumbor

    Versions
    • < 7.8.0: Affected

    No fix published

  • thumbor Debian:14

    Versions
    • 6.3.2-3
    • 6.3.2-4
    • 6.5.1-1
    • 6.5.1-2
    • 6.5.1-3
    • 6.5.1-4
    • 6.5.1-5
    • 6.5.1-6
    • 6.5.1-7
    • 6.7.0-1
    • 7.7.7-1
    • 7.7.7-2
    • 7.7.7-3
    • 7.7.7-4
    • 7.7.7-5
    • 7.7.7-6
    Affected ranges
    • ECOSYSTEM: < 7.8.0-1

    Update to 7.8.0-1

  • thumbor PyPI

    Versions
    • 4.1.3
    • 4.10.0
    • 4.10.1
    • 4.10.2
    • 4.10.3
    • 4.11.0
    • 4.11.1
    • 4.12.0
    • 4.12.1
    • 4.12.2
    • 4.4.1
    • 4.5.3
    • 4.5.4
    • 4.6.0
    • 4.7.0
    • 4.7.1
    • 4.8.0
    • 4.8.1
    • 4.8.2
    • 4.8.3
    • 4.8.4
    • 4.8.5
    • 4.8.6
    • 4.9.0
    • 4.9.1
    • 5.0.0
    • 5.0.0rc1
    • 5.0.0rc2
    • 5.0.1
    • 5.0.2
    • 5.0.3
    • 5.0.4
    • 5.0.5
    • 5.0.6
    • 5.1.0
    • 5.2.0
    • 5.2.1
    • 6.0.0
    • 6.0.0b1
    • 6.0.0b2
    • 6.0.0b3
    • 6.0.0b4
    • 6.0.0b5
    • 6.0.1
    • 6.0.2
    • 6.1.0
    • 6.1.1
    • 6.1.2
    • 6.1.3
    • 6.1.4
    • 6.1.5
    • 6.2.0
    • 6.2.1
    • 6.3.0
    • 6.3.1
    • 6.3.2
    • 6.4.0
    • 6.4.1
    • 6.4.2
    • 6.4.3
    • 6.5.0
    • 6.5.1
    • 6.5.2
    • 6.6.0
    • 6.6.1
    • 6.7.0
    • 6.7.1
    • 6.7.2
    • 6.7.3
    • 6.7.4
    • 6.7.5
    • 6.7.6
    • 7.0.0
    • 7.0.0a1
    • 7.0.0a2
    • 7.0.0a3
    • 7.0.0a4
    • 7.0.0a5
    • 7.0.0b1
    • 7.0.1
    • 7.0.10
    • 7.0.11
    • 7.0.12
    • 7.0.2
    • 7.0.3
    • 7.0.5
    • 7.0.6
    • 7.0.7
    • 7.0.8
    • 7.0.9
    • 7.1.0
    • 7.1.1
    • 7.1.2
    • 7.2.0
    • 7.2.1
    • 7.3.0
    • 7.3.1
    • 7.3.2
    • 7.4.0
    • 7.4.1
    • 7.4.2
    • 7.4.3
    • 7.4.4
    • 7.4.5
    • 7.4.6
    • 7.4.7
    • 7.5.0
    • 7.5.1
    • 7.5.2
    • 7.6.0
    • 7.7.0
    • 7.7.1
    • 7.7.2
    • 7.7.3
    • 7.7.4
    • 7.7.5
    • 7.7.6
    • 7.7.7
    Affected ranges
    • ECOSYSTEM: < 7.8.0

    Update to 7.8.0

  • thumbor Ubuntu:26.04:LTS

    Versions
    • 7.7.7-4
    • 7.7.7-5
    Affected ranges
    • ECOSYSTEM: (−∞, +∞)

    No fix published

Original sources

Check your server →