CVE-2026-40072

web3.py Python vasitəsilə Ethereum blokçeyn ilə qarşılıqlı əlaqə qurmağa imkan verir. 6.0.0b3 versiyasından 7.15.0 və 8.0.0b2 versiyalarına qədər olan web3.py, smart kontraktlar tərəfindən offchain_lookup_payload["urls"] daxilində təmin edilən URL-lərə HTTP sorğuları göndərməklə CCIP Read / OffchainLookup (EIP-3668) funksiyasını həyata keçirir. Bu tətbiq, kontrakt tərəfindən təmin edilən URL-lərdən hər hansı bir təyinat təsdiqi olmadan ({sender} / {data} şablon əvəzləmələrindən sonra) birbaşa istifadə edir. CCIP Read standart olaraq aktivdir (bütün provayderlərdə global_ccip_read_enabled = True), bu o deməkdir ki, web3.py-ın .call() metodundan istifadə edən hər hansı tətbiq, xüsusi razılıq olmadan risk altındadır. Bu, web3.py-ın backend xidmətlərində, indeksleyicilərdə, API-larda və ya etibarsız yaxud istifadəçi tərəfindən təmin edilən kontrakt ünvanlarına qarşı eth_call / .call() yerinə yetirən hər hansı mühitdə istifadə edildiyi halda Server-Side Request Forgery (SSRF) zəifliyinə səbəb olur. Zərərli kontrakt web3.py prosesini daxili şəbəkə xidmətləri və bulud metadata son nöqtələri də daxil olmaqla, ixtiyari təyinatlara HTTP sorğuları göndərməyə məcbur edə bilər. Bu zəiflik 7.15.0 və 8.0.0b2 versiyalarında aradan qaldırılmışdır.