CVE-2026-40072

web3.py, Python kullanarak Ethereum blok zinciri ile etkileşim kurmanıza olanak tanır. 6.0.0b3 sürümünden 7.15.0 ve 8.0.0b2 sürümlerinden öncesine kadar web3.py, akıllı sözleşmeler tarafından offchain_lookup_payload["urls"] içinde sağlanan URL'lere HTTP istekleri gerçekleştirerek CCIP Read / OffchainLookup (EIP-3668) özelliğini uygular. Uygulama, bu sözleşme tarafından sağlanan URL'leri ({sender} / {data} şablon değişimi sonrası) herhangi bir hedef doğrulaması yapmadan doğrudan kullanır. CCIP Read varsayılan olarak etkindir (tüm sağlayıcılarda global_ccip_read_enabled = True), bu da web3.py'nin .call() yöntemini kullanan her uygulamanın açık bir onay olmaksızın risk altında olduğu anlamına gelir. Bu durum; web3.py'nin arka uç servislerinde, indeksleyicilerde, API'lerde veya güvenilmeyen ya da kullanıcı tarafından sağlanan sözleşme adreslerine karşı eth_call / .call() işlemi gerçekleştiren herhangi bir ortamda kullanılması durumunda Sunucu Taraflı İstek Sahteciliği (SSRF) ile sonuçlanır. Kötü niyetli bir sözleşme, web3.py sürecini dahili ağ servisleri ve bulut meta veri uç noktaları dahil olmak üzere rastgele hedeflere HTTP istekleri göndermeye zorlayabilir. Bu güvenlik açığı 7.15.0 ve 8.0.0b2 sürümlerinde giderilmiştir.