CVE-2026-107714
ŚrednieCVSS 5.9Streszczenie
Biblioteka Mechanize przed wersją 2.14.1 nieprawidłowo traktuje przekierowania jako samego pochodzenia, gdy host się zgadza, bez spójnego porównywania schematu i portu. Przekierowanie HTTPS na HTTP na tym samym hoście może wysłać nagłówki Authorization i Cookie w postaci zwykłego tekstu, a przekierowanie na inny port może wysłać nagłówek Cookie do innej usługi. Problem dotyczy nagłówków dostarczonych przez wywołującego i może ujawnić poświadczenia.
Ocena ryzyka
Organizacja może narazić poświadczenia użytkowników na przechwycenie podczas przekierowań między różnymi portami lub protokołami na tym samym hoście, co może prowadzić do nieautoryzowanego dostępu do systemów.
Rekomendacja
Zaktualizuj bibliotekę Mechanize do wersji 2.14.1 lub nowszej, aby wyeliminować podatność na nieprawidłowe traktowanie przekierowań.
Inne podatności w Mechanize
Zobacz wszystkie- CVE-2026-107715Średnie
Biblioteka Mechanize jest używana do automatyzacji interakcji z witrynami. Przed wersją 2.14.1, Mechanize wysyła nagłówki poświadczeń dostarczone przez wywołującego do innego hosta po przekierowaniu HTTP. Mechanize#request_headers= jest ponownie stosowane przez Mechanize::HTTP::Agent#request_add_headers nawet po tym, jak Mechanize::HTTP::Agent#response_redirect usuwa nagłówki per-request, a listy chronionych nagłówków pomijają Proxy-Authorization i Cookie2. Atakujący, który kontroluje cel przekierowania, może przechwycić tokeny nośnika lub ciasteczka sesji dostarczone przez request_headers= lub argument nagłówków per-request, podczas gdy Mechanize#cookie_jar i Mechanize::HTTP::AuthStore nie są dotknięte. Ten problem został naprawiony w wersji 2.14.1.
- CVE-2026-107399Średnie
Biblioteka Mechanize przed wersją 2.14.1 nie stosuje granicy zaufania pochodzenia w Mechanize::HTTP::Agent#response_follow_meta_refresh, gdy włączona jest opcja follow_meta_refresh. Strona zawierająca meta refresh do innego pochodzenia powoduje ponowne zastosowanie nagłówków skonfigurowanych przez Mechanize#request_headers= do żądania odświeżenia, co pozwala atakującemu kontrolującemu treść w przeszukiwaniu na przechwycenie tokenów bearer lub ciasteczek sesji. Domyślna konfiguracja nie jest dotknięta, ponieważ follow_meta_refresh jest fałszywe.
Oryginalny opis (angielski, źródło NVD)
The Mechanize library is used for automating interaction with websites. Prior to 2.14.1, Mechanize::HTTP::Agent#response_redirect treats redirects as same-origin when the host matches without consistently comparing scheme and port. A same-host HTTPS-to-HTTP redirect can send Authorization and Cookie headers over cleartext, while a same-host redirect to another port can send a caller-supplied Cookie header to a different service. Cookies in Mechanize#cookie_jar remain scoped separately; the issue affects caller-supplied headers and can disclose credentials without affecting integrity or availability. This issue is fixed in version 2.14.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS