CVE-2026-2020 – SSRF via divergence de parseur d'URL

Code du programme (Python)

# vulnerable_service.py - Validates URL with urllib.parse, fetches with requests
from flask import Flask, request
import requests
import urllib.parse

app = Flask(__name__)

def is_allowed_url(url):
    parsed = urllib.parse.urlparse(url)
    # Only allow http://localhost and http://127.0.0.1
    return parsed.hostname in ('localhost', '127.0.0.1')

@app.route('/fetch')
def fetch():
    url = request.args.get('url')
    if not is_allowed_url(url):
        return "Blocked", 403
    # Fetch with requests (different parser)
    r = requests.get(url, timeout=5)
    return r.text

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-2020 – SSRF via divergence de parseur d'URL

Aperçu

Un service utilise urllib.parse.urlparse de Python pour valider les URL, mais les récupère ensuite avec la bibliothèque requests. Les divergences dans la façon dont les deux parseurs traitent les caractères spéciaux (comme @) permettent à un attaquant de contourner la liste blanche et d'accéder à des ressources internes.

Détails de la vulnérabilité

• Type : Server‑Side Request Forgery (SSRF) – Divergence de parseur
• Impact : Accès aux services internes, exfiltration des métadonnées cloud.
• Cause racine : urlparse considère que [email protected] a pour nom d'hôte localhost (la partie avant @ est le nom d'utilisateur), tandis que requests interprète l'hôte comme evil.com.

Démonstration de l'exploit

1. Démarrez le service vulnérable :
   root@kitploit:~

   pip install flask requests
   python vulnerable_service.py
   

2. Exécutez l'exploit :
   root@kitploit:~

   python exploit_ssrf_parser_diff.py