CVE-2016-6287

Wysokie

Opublikowano: 10/01/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Pakiet 'http-client' zawsze używał zmiennej środowiskowej HTTP_PROXY do określenia, czy ruch HTTP powinien być kierowany przez proxy, nawet podczas działania jako proces CGI. To może umożliwić atakującemu skierowanie wszystkich żądań HTTP przez proxy za pomocą nagłówka 'Proxy'.

Ocena ryzyka

Atak httpoxy może prowadzić do przechwytywania danych użytkowników oraz manipulacji ruchem sieciowym, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji webowych.

Rekomendacja

Zaleca się aktualizację pakietu 'http-client' do wersji 0.10 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.

Inne podatności w http-client

CVE-2026-1502Średnie
Podatność w kliencie HTTP pozwala na wstrzyknięcie znaków CR/LF do nagłówków tunelu proxy lub hosta, co może prowadzić do ataków typu HTTP response splitting lub cache poisoning.

Oryginalny opis (angielski, źródło NVD)

The "http-client" egg always used a HTTP_PROXY environment variable to determine whether HTTP traffic should be routed via a proxy, even when running as a CGI process. Under several web servers this would mean a user-supplied "Proxy" header could allow an attacker to direct all HTTP requests through a proxy (also known as a "httpoxy" attack). This affects all versions of http-client before 0.10.