WeasyPrint possui uma Proteção de Server-Side Request Forgery (SSRF) Bypass via Redirecionamento HTTP

O impacto desta vulnerabilidade é significativo, pois permite a um atacante contornar as medidas de segurança implementadas para prevenir SSRF. Um atacante pode explorar essa falha para acessar dados confidenciais armazenados em serviços internos, como bancos de dados, servidores de arquivos ou APIs internas. Além disso, a exploração pode levar ao acesso a metadados de instâncias de nuvem, revelando informações sensíveis sobre a infraestrutura. A ausência de revalidação dos redirecionamentos HTTP pelo urllib é o ponto chave da exploração, permitindo que um atacante redirecione a requisição para um destino não intencional, ignorando as políticas de segurança definidas pelo desenvolvedor. A exploração bem-sucedida pode resultar em roubo de dados, comprometimento da infraestrutura e até mesmo acesso não autorizado a outros sistemas na rede interna.

Organizations using WeasyPrint to generate documents from untrusted sources are particularly at risk. This includes applications that process user-supplied URLs or data that is subsequently used in document generation. Shared hosting environments where multiple applications share the same WeasyPrint instance are also vulnerable, as a compromise in one application could potentially be leveraged to exploit this SSRF vulnerability in others.

• python / server:

import requests
from urllib.parse import urlparse

def check_redirects(url):
    try:
        response = requests.get(url, allow_redirects=True)
        parsed_url = urlparse(response.url)
        if parsed_url.netloc != urlparse(url).netloc:
            print(f"Potential SSRF bypass detected: URL redirected to {response.url}")
    except requests.exceptions.RequestException as e:
        print(f"Error checking URL: {e}")

# Example usage (replace with WeasyPrint-related URLs)
check_redirects("http://localhost:8000/internal")

• generic web:

curl -I 'http://your-weasyprint-server/some/url' | grep 'Location:'

1. 2026-01-20Disclosure

   disclosure

1. Reservado2025-12-19
2. Publicada2026-01-20
3. Modificada2026-04-15
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o WeasyPrint para a versão 68.0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere as seguintes medidas de mitigação: implementar um Web Application Firewall (WAF) ou proxy reverso para filtrar requisições HTTP e bloquear redirecionamentos suspeitos. Configure o url_fetcher personalizado para revalidar o destino final após cada redirecionamento HTTP, garantindo que ele permaneça dentro do escopo permitido. Monitore os logs de acesso e erro em busca de padrões de requisições incomuns ou tentativas de acesso a recursos internos não autorizados. Após a atualização, confirme a correção da vulnerabilidade verificando se os redirecionamentos HTTP são revalidados corretamente e se o acesso a recursos internos está bloqueado.