Server-side Request Forgery (SSRF) via img tags in reportlab
All versions of package reportlab at time of writing are vulnerable to Server-side Request Forgery (SSRF) via img tags. In order to reduce risk, use trustedSchemes & trustedHosts (see in Reportlab's documentation)
Steps to reproduce by Karan Bamal:
- Download and install the latest package of reportlab
- Go to demos -> odyssey -> dodyssey
- In the text file odyssey.txt that needs to be converted to pdf inject
<img src="http://127.0.0.1:5000" valign="top"/> - Create a nc listener
nc -lp 5000 - Run python3 dodyssey.py
- You will get a hit on your nc showing we have successfully proceded to send a server side request
- dodyssey.py will show error since there is no img file on the url, but we are able to do SSRF
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | reportlab | < 3.5.55 | 3.5.55 |
Referencias
- https://snyk.io/vuln/SNYK-PYTHON-REPORTLAB-1022145
- https://www.reportlab.com/docs/reportlab-userguide.pdf
- https://github.com/advisories/GHSA-mpvw-25mg-59vx
- https://nvd.nist.gov/vuln/detail/CVE-2020-28463
- https://bugzilla.redhat.com/show_bug.cgi?id=1930417
- https://github.com/pypa/advisory-database/tree/main/vulns/reportlab/PYSEC-2021-146.yaml
- https://hg.reportlab.com/hg-public/reportlab
- https://hg.reportlab.com/hg-public/reportlab/file/f094d273903a/CHANGES.md#l71
- https://hg.reportlab.com/hg-public/reportlab/rev/7f2231703dc7
- https://lists.debian.org/debian-lts-announce/2023/09/msg00037.html
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HMUJA5GZTPQ5WRYUCCK2GEZM4W43N7HH
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YZQSFCID67K6BTC655EQY6MNOF35QI44
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-918- Plataforma
- Python (PyPI)
- Paquete
reportlab- Publicada
- 18.02.2021
- Actualizado
- 11.10.2026 11:20
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2021-146 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-mpvw-25mg-59vx - CC BY 4.0
Historial de vulnerabilidades: reportlab
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 4
- Primera → última
- 10.2019 09.2023
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 2
Divulgaciones por año
- 2019: 1
- 2020: 0
- 2021: 1
- 2022: 0
- 2023: 2
- 2024: 0
- 2025: 0
- 2026: 0
-
Server-side Request Forgery (SSRF) via img tags in reportlab esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.