CVE-2026-53501

Thumbor, globo.com tərəfindən hazırlanmış açıq mənbəli foto kiçik şəkil (thumbnail) xidmətidir. 7.8.0 versiyasından əvvəl, Thumbor-un HMAC təsdiqləməsi, validasiyadan əvvəl imzanın URL-dən silinməsi zamanı Python-un .replace() funksiyasının istifadəsi səbəbindən yan keçilə bilər. .replace() funksiyası alt sətirin bütün nümunələrini sildiyi üçün hücumçu eyni imzanı URL-də bir neçə dəfə daxil edə və validasiya üçün istifadə olunan yekun URL-i manipulyasiya edə bilər. Bu, təsdiqlənmiş sətirin faktiki sorğu edilən resursdan fərqləndiyi URL-lərin yaradılmasına imkan verir və nəticədə gözlənilməyən domenlərdən və ya yollardan şəkillərin yüklənməsini təmin edir. Bu problem 7.8.0 versiyasında düzəldilmişdir.