george0papasotiriou/cve-2026-2020-ssrf-via-url-parser-differentialDemonstra exploração de SSRF via diferença de parsing de URL entre urllib.parse e requests, incluindo serviço vulnerável e script de exploit de PoC.
# vulnerable_service.py - Validates URL with urllib.parse, fetches with requests
from flask import Flask, request
import requests
import urllib.parse
app = Flask(__name__)
def is_allowed_url(url):
parsed = urllib.parse.urlparse(url)
# Only allow http://localhost and http://127.0.0.1
return parsed.hostname in ('localhost', '127.0.0.1')
@app.route('/fetch')
def fetch():
url = request.args.get('url')
if not is_allowed_url(url):
return "Blocked", 403
# Fetch with requests (different parser)
r = requests.get(url, timeout=5)
return r.text
if __name__ == '__main__':
app.run(port=5000)
Um serviço usa o urllib.parse.urlparse do Python para validar URLs, mas depois as busca com a biblioteca requests. Divergências na forma como os dois parsers lidam com caracteres especiais (como @) permitem que um atacante contorne a lista de permissões e acesse recursos internos.
urlparse trata [email protected] como tendo o hostname localhost (a parte antes de @ é o nome de usuário), enquanto requests interpreta o host como evil.com.pip install flask requests
python vulnerable_service.py
python exploit_ssrf_parser_diff.py