What is CVE-2026-53500?
CVE-2026-53500 affects Thumbor, an open-source photo thumbnail service. Prior to version 7.8.0, the ALLOWED_SOURCES configuration passes plain strings to `re.match()` without escaping dots, allowing hostnames differing only at dot positions to bypass the allowlist. The issue is fixed in version 7.8.0, so upgrading is recommended.
Azərbaycanca: CVE-2026-53500 Thumbor açıq mənbəli foto kiçiltmə xidmətində aşkarlanıb. 7.8.0 versiyasından əvvəl, ALLOWED_SOURCES konfiqurasiyası `re.match()` funksiyasında nöqtələri qaçırmadığı üçün, yalnız nöqtə mövqeyi ilə fərqlənən host adları allowlist-i keçə bilir. Bu boşluq 7.8.0 versiyasında aradan qaldırılıb, istifadəçilərə dərhal yeniləmə tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-20
FAQ2
Which versions of Thumbor are affected by CVE-2026-53500?
CVE-2026-53500 affects all versions of Thumbor prior to 7.8.0. The vulnerability is fixed in version 7.8.0.
What is the root cause of CVE-2026-53500?
The vulnerability is caused by the ALLOWED_SOURCES configuration passing plain strings to `re.match()` without escaping dots. This allows hostnames differing only at dot positions to bypass the allowlist.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.