CVE-2025-25301

Cette vulnérabilité permet à un attaquant d'exploiter l'endpoint /api/remove pour récupérer des images stockées sur le réseau interne du serveur rembg. L'attaquant peut ainsi accéder à des données sensibles ou confidentielles qui ne devraient pas être accessibles depuis l'extérieur du réseau. L'impact est significatif car il peut conduire à une divulgation d'informations potentiellement critique, compromettant la confidentialité des données stockées sur le réseau interne. Bien que la description ne précise pas de type de données, l'accès à des images internes pourrait révéler des informations sur les processus métier, les employés ou les clients.

Organizations utilizing Rembg for background removal, particularly those deploying it within internal networks or behind firewalls, are at risk. Shared hosting environments where Rembg is installed alongside other applications could also be vulnerable if the server configuration allows access to internal resources.

• python / server:

# Check Rembg version
pip show rembg

• python / server:

import subprocess
result = subprocess.run(['pip', 'show', 'rembg'], capture_output=True, text=True)
if result.returncode == 0:
    version = result.stdout.split('Version: ')[1].split('\n')[0]
    if version <= '2.0.57':
        print('Vulnerability detected: Rembg version is vulnerable.')
    else:
        print('Rembg version is patched.')
else:
    print('Rembg is not installed.')

1. 2025-03-03Disclosure

   disclosure

1. Réservé2025-02-06
2. Publiée2025-03-03
3. Modifiée2025-04-09
4. EPSS mis à jour2026-04-02

La mitigation immédiate consiste à mettre à jour rembg vers la version 2.0.58 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas possible immédiatement, une solution temporaire consiste à restreindre l'accès à l'endpoint /api/remove. Cela peut être réalisé en configurant un pare-feu ou un proxy inverse pour bloquer les requêtes provenant de sources non autorisées. Il est également recommandé de surveiller les journaux du serveur pour détecter toute activité suspecte liée à l'endpoint /api/remove. Après la mise à jour, vérifiez que l'accès à l'endpoint /api/remove est correctement restreint et que les images internes ne sont plus accessibles depuis l'extérieur.