SSRF (Falsification de requête côté serveur) dans streamlit (CVE-2026-33682)
Résumé
SSRF dans streamlit (CVE-2026-33682). Risque d'opérations non autorisées ou de divulgation. Exploitable via ComponentRequestHandler. Atténuation : mise à jour vers 1.54.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Streamlit Open Source Security Advisory
1. Impacted Products
Streamlit Open Source versions prior to 1.54.0 running on Windows hosts.
2. Introduction
Snowflake Streamlit Open Source addressed a security vulnerability affecting Windows deployments related to improper handling and validation of filesystem paths within component request handling. The vulnerability was reported through the responsible disclosure program and has been remediated in Streamlit Open Source version 1.54.0. This issue affects only Streamlit deployments running on Windows operating systems.
3. Server-Side Request Forgery (SSRF) and NTLM Credential Exposure
3.1 Description
Streamlit was informed by a security researcher of an unauthenticated Server-Side Request Forgery (SSRF) vulnerability. The vulnerability arises from improper validation of attacker-supplied filesystem paths. In certain code paths, including within the ComponentRequestHandler, filesystem paths are resolved using os.path.realpath() or Path.resolve() before sufficient validation occurs.
On Windows systems, supplying a malicious UNC path (e.g., \\attacker-controlled-host\share) can cause the Streamlit server to initiate outbound SMB connections over port 445. When Windows attempts to authenticate to the remote SMB server, NTLMv2 challenge-response credentials of the Windows user running the Streamlit process may be transmitted.
This behavior may allow an attacker to:
- Perform NTLM relay attacks against oth…
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-33682 a été découverte dans streamlit.
Des attaquants peuvent cibler un point d'entrée spécifique comme ComponentRequestHandler à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour streamlit vers 1.54.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « streamlit CVE-2026-33682 » sur le site de l'éditeur.
CVE-2026-33682 (streamlit) — CWE-918
Vecteur d'attaque : réseau adjacent / non authentifié / sans interaction utilisateur
Surface d'attaque : ComponentRequestHandler
Correctif : 1.54.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une SSRF (CWE-918) affecte streamlit. Les attaquants atteignent le code vulnérable via ComponentRequestHandler sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de streamlit. Surface d'attaque : ComponentRequestHandler.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.54.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'streamlit' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
streamlitを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade streamlit to 1.54.0ステージング環境で 1.54.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com