CVE-2026-107399
ŚrednieCVSS 6.8Streszczenie
Biblioteka Mechanize przed wersją 2.14.1 nie stosuje granicy zaufania pochodzenia w Mechanize::HTTP::Agent#response_follow_meta_refresh, gdy włączona jest opcja follow_meta_refresh. Strona zawierająca meta refresh do innego pochodzenia powoduje ponowne zastosowanie nagłówków skonfigurowanych przez Mechanize#request_headers= do żądania odświeżenia, co pozwala atakującemu kontrolującemu treść w przeszukiwaniu na przechwycenie tokenów bearer lub ciasteczek sesji. Domyślna konfiguracja nie jest dotknięta, ponieważ follow_meta_refresh jest fałszywe.
Ocena ryzyka
Jeśli organizacja włączyła opcję follow_meta_refresh, atakujący może przechwycić tokeny uwierzytelniające lub ciasteczka sesji, co może prowadzić do nieautoryzowanego dostępu do kont użytkowników.
Rekomendacja
Zaktualizuj bibliotekę Mechanize do wersji 2.14.1 lub nowszej oraz rozważ pozostawienie opcji follow_meta_refresh wyłączonej, jeśli nie jest wymagana.
Inne podatności w Mechanize
Zobacz wszystkie- CVE-2026-107715Średnie
Biblioteka Mechanize jest używana do automatyzacji interakcji z witrynami. Przed wersją 2.14.1, Mechanize wysyła nagłówki poświadczeń dostarczone przez wywołującego do innego hosta po przekierowaniu HTTP. Mechanize#request_headers= jest ponownie stosowane przez Mechanize::HTTP::Agent#request_add_headers nawet po tym, jak Mechanize::HTTP::Agent#response_redirect usuwa nagłówki per-request, a listy chronionych nagłówków pomijają Proxy-Authorization i Cookie2. Atakujący, który kontroluje cel przekierowania, może przechwycić tokeny nośnika lub ciasteczka sesji dostarczone przez request_headers= lub argument nagłówków per-request, podczas gdy Mechanize#cookie_jar i Mechanize::HTTP::AuthStore nie są dotknięte. Ten problem został naprawiony w wersji 2.14.1.
- CVE-2026-107714Średnie
Biblioteka Mechanize przed wersją 2.14.1 nieprawidłowo traktuje przekierowania jako samego pochodzenia, gdy host się zgadza, bez spójnego porównywania schematu i portu. Przekierowanie HTTPS na HTTP na tym samym hoście może wysłać nagłówki Authorization i Cookie w postaci zwykłego tekstu, a przekierowanie na inny port może wysłać nagłówek Cookie do innej usługi. Problem dotyczy nagłówków dostarczonych przez wywołującego i może ujawnić poświadczenia.
Oryginalny opis (angielski, źródło NVD)
The Mechanize library is used for automating interaction with websites. Prior to 2.14.1, Mechanize applies no origin trust boundary in Mechanize::HTTP::Agent#response_follow_meta_refresh when Mechanize#follow_meta_refresh is enabled. A page containing a meta refresh to another origin causes headers configured through Mechanize#request_headers= to be reapplied to the refresh request, allowing an attacker who controls content in the crawl to capture bearer tokens or session cookies. The default configuration is not affected because follow_meta_refresh is false, and the exposure is limited to caller-supplied default headers. This issue is fixed in version 2.14.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS