CVE-2026-111171mediumCWE-918

CVE-2026-111171: fallo de gravedad media en ethereum web3.py

Web3.py 7.15.0 through 7.16.0 and 8.0.0b2 through 8.0.0 CCIP-Read SSRF Bypass

Publicada el

Seguir esta CVE+ Monitorear web3.py+ Monitorear web3

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 6.3epss 0.3%
Web3.py 7.15.0 through 7.16.0 and 8.0.0b2 through 8.0.0 contains a server-side request forgery vulnerability because _check_ip_blocked() does not unwrap IPv4-mapped IPv6 addresses in CCIP Read URL validation. Malicious contracts can return OffchainLookup URLs with IPv4-mapped IPv6 hosts or AAAA records, making clients with CCIP Read enabled send requests to loopback, private, or link-local services.
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N
Productos afectados
ethereum · web3.py
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — ethereum web3.py

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-40072LOWweb3.py affected by SSRF via CCIP Read (EIP-3668) OffchainLookup URL handlingEPSS 0.2%