JVNDB-2026-017952

ApeWorxのweb3.pyにおけるサーバサイドのリクエストフォージェリの脆弱性

web3.pyはPythonを使用してイーサリアムブロックチェーンと対話するためのライブラリです。バージョン6.0.0b3から7.15.0未満および8.0.0b2まで、web3.pyはCCIP Read / OffchainLookup（EIP-3668）を実装しており、スマートコントラクトがoffchain_lookup_payload["urls"]で提供するURLにHTTPリクエストを送信します。この実装では、コントラクトから提供されたこれらのURLを（{sender} / {data}のテンプレート置換後に）直接使用し、送信先の検証を行いません。CCIP Readはデフォルトで有効（全プロバイダーでglobal_ccip_read_enabled = True）となっているため、web3.pyの.call()メソッドを使用する任意のアプリケーションは明示的なオプトインなしに影響を受けます。これにより、web3.pyがバックエンドサービス、インデクサー、API、または信頼されていないかユーザー提供のコントラクトアドレスに対してeth_call / .call()を実行する環境で使用される場合、サーバーサイドリクエストフォージェリ（SSRF）が発生します。悪意のあるコントラクトはweb3.pyプロセスに任意の宛先（内部ネットワークサービスやクラウドのメタデータエンドポイントを含みます）へのHTTPリクエストを強制することが可能です。この脆弱性は7.15.0および8.0.0b2で修正されています。

ApeWorx

• web3.py 6.1.0 以上 7.15.0 未満
• web3.py 6.0.0
• web3.py 8.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SSRF via CCIP Read (EIP-3668) OffchainLookup URL handling  Advisory  ApeWorX/web3.py  GitHub

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-40072

1. National Vulnerability Database (NVD) : CVE-2026-40072
2. 関連文書 : feat: added restrictions on CCIP read durin calls  ApeWorX/web3.py@b1c57bb  GitHub

• [2026年06月04日]
    掲載