CVE-2026-111171mediumCWE-918

CVE-2026-111171: falha de média gravidade em ethereum web3.py

Web3.py 7.15.0 through 7.16.0 and 8.0.0b2 through 8.0.0 CCIP-Read SSRF Bypass

Publicada em

Seguir esta CVE+ Monitorar web3.py+ Monitorar web3

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

33Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 6.3epss 0.3%
Web3.py 7.15.0 through 7.16.0 and 8.0.0b2 through 8.0.0 contains a server-side request forgery vulnerability because _check_ip_blocked() does not unwrap IPv4-mapped IPv6 addresses in CCIP Read URL validation. Malicious contracts can return OffchainLookup URLs with IPv4-mapped IPv6 hosts or AAAA records, making clients with CCIP Read enabled send requests to loopback, private, or link-local services.
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N
Produtos afetados
ethereum · web3.py
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — ethereum web3.py

No mesmo produto, das mais perigosas para as menos.

CVE-2026-40072LOWweb3.py affected by SSRF via CCIP Read (EIP-3668) OffchainLookup URL handlingEPSS 0.2%