CVE-2026-78205, pubblicata il 24 agosto alle 01:16 UTC, è una server-side request forgery nella protezione di BentoML per le connessioni in uscita e interessa le versioni 1.4.19 through 1.4.39. Si tratta esplicitamente di una rimedio incompleto a una vulnerabilità precedente del 2025.

La lacuna e perché è facile non vederla

La funzione di controllo rifiuta gli indirizzi privati, loopback e link-local. Non rifiuta lo spazio di indirizzi condivisi RFC 6598, 100.64.0.0/10 — l’intervallo usato per il carrier-grade NAT. Il motivo è istruttivo: il modulo ipaddress della libreria standard di Python non classifica quel blocco come privato, quindi un controllo formulato in termini di «questo indirizzo è privato?» lo lascia passare. Lo sviluppatore ha scritto un test plausibile e la libreria ha risposto correttamente; semplicemente, la definizione non coincide con il modello di minaccia. Un attaccante fornisce un URL tramite la gestione di file multipart o il parsing JSON e raggiunge host interni sulle reti CGNAT.

Cosa sbaglia il racconto più comune

Una correzione incompleta non è la stessa cosa di una nuova scoperta, e la distinzione pesa contro il vendor, non a suo favore. La vulnerabilità originale è stata segnalata, accettata e corretta; la patch è stata poi considerata conclusiva. Ciò che è stato pubblicato questa settimana dimostra che la correzione è stata testata contro il caso segnalato, non contro la categoria. La domanda rilevante per chi esegue una versione interessata non è se abbia applicato la correzione del 2025 — probabilmente sì — ma se quell’applicazione abbia lasciato credere di essere coperto.

La timeline

Il segnalatore afferma che il problema è stato inviato via email il 2 giugno senza ricevere risposta da allora. Un issue pubblico è stato aperto il 30 giugno e resta aperto. Sono circa 83 giorni dalla segnalazione privata al CVE pubblico con, secondo il segnalatore, nessun riconoscimento nel frattempo — ed è così che una divulgazione coordinata diventa non coordinata.

Il pattern nella notte

La notizia è arrivata entro due ore da due vulnerabilità RPC di llama.cpp. Tutte e tre riguardano infrastrutture di serving per AI e, in tutti e tre i casi, i manutentori erano già stati avvisati.