WeasyPrint présente un contournement de la protection contre la falsification de requêtes côté serveur (SSRF) via une redirection HTTP

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de lancer des requêtes vers des services internes qui seraient normalement inaccessibles depuis l'extérieur. Cela peut inclure l'accès à des informations sensibles stockées sur des serveurs internes, l'exécution de commandes sur des systèmes vulnérables, ou même la compromission de l'infrastructure cloud. Le contournement des protections SSRF rend cette vulnérabilité particulièrement dangereuse, car les développeurs peuvent avoir mis en place des mesures de sécurité pour empêcher l'accès direct à ces ressources. Cette faille pourrait être exploitée pour extraire des clés API, des informations d'identification de base de données, ou d'autres données confidentielles, ouvrant la porte à des attaques plus sophistiquées.

Organizations using WeasyPrint to generate documents from untrusted sources are particularly at risk. This includes applications that process user-supplied URLs or data that is subsequently used in document generation. Shared hosting environments where multiple applications share the same WeasyPrint instance are also vulnerable, as a compromise in one application could potentially be leveraged to exploit this SSRF vulnerability in others.

• python / server:

import requests
from urllib.parse import urlparse

def check_redirects(url):
    try:
        response = requests.get(url, allow_redirects=True)
        parsed_url = urlparse(response.url)
        if parsed_url.netloc != urlparse(url).netloc:
            print(f"Potential SSRF bypass detected: URL redirected to {response.url}")
    except requests.exceptions.RequestException as e:
        print(f"Error checking URL: {e}")

# Example usage (replace with WeasyPrint-related URLs)
check_redirects("http://localhost:8000/internal")

• generic web:

curl -I 'http://your-weasyprint-server/some/url' | grep 'Location:'

1. 2026-01-20Disclosure

   disclosure

1. Réservé2025-12-19
2. Publiée2026-01-20
3. Modifiée2026-04-15
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour WeasyPrint vers la version 68.0 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de renforcer la sécurité en limitant les autorisations du compte utilisé par WeasyPrint pour accéder aux ressources externes. Il est également recommandé de désactiver les redirections HTTP automatiques dans la configuration de urllib si cela est possible. Surveillez attentivement les journaux d'accès pour détecter des requêtes suspectes vers des adresses internes. L'implémentation de règles WAF (Web Application Firewall) pour bloquer les requêtes vers des adresses internes non autorisées peut également aider à atténuer le risque.