CVE-2026-53501

Thumbor, globo.com tarafından geliştirilen açık kaynaklı bir fotoğraf küçük resim servisidir. 7.8.0 sürümünden önce, imzanın doğrulama öncesinde URL'den kaldırılması sırasında Python'un .replace() metodunun kullanılması nedeniyle Thumbor'un HMAC doğrulaması atlatılabilir. .replace() metodu alt dizgenin tüm örneklerini kaldırdığı için, bir saldırgan aynı imzayı URL'ye birden fazla kez ekleyebilir ve doğrulama için kullanılan nihai URL'yi manipüle edebilir. Bu durum, doğrulanan dizgenin gerçekte talep edilen kaynaktan farklı olduğu URL'lerin oluşturulmasına izin vererek istenmeyen etki alanlarından veya yollardan görüntü yüklenmesini sağlar. Bu sorun 7.8.0 sürümünde düzeltilmiştir.