CVE-2026-78205
Açıklama
BentoML'in giden bağlantı koruması (_internal/utils/uri.py içindeki make_safe_connect), özel, loopback ve link-local IP adreslerini engeller ancak RFC 6598 paylaşımlı adres alanını (100.64.0.0/10, CGNAT) reddetmez. 1.4.19 ile 1.4.39 sürümleri arasında, kimliği doğrulanmamış bir saldırgan multipart dosya işleme (MultipartSerde.ensure_file) veya JSON istek ayrıştırma (JSONSerde.parse_request) yoluyla bu aralığa işaret eden URL'ler sağlayabilir ve sunucunun CGNAT ağlarındaki iç ana bilgisayarlara giden istekler yapmasına neden olabilir (Sunucu Tarafı İstek Sahteciliği). Bu, CVE-2025-54381 için eksik bir düzeltmedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bentoml BentoML | 1.4.19 ≤ v ≤ 1.4.39 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.