CVE-2026-33637

NieznaneCVSS 0.0

Opublikowano: 19/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Faraday to biblioteka HTTP client library abstraction layer. W wersjach od 2.0.0 do 2.14.1 nadal możliwe jest nadpisywanie hosta względem protokołu, gdy cel żądania jest przekazywany jako obiekt URI (a nie jako String) do metody Faraday::Connection#build_exclusive_url. Obejście to pozwala na ataki typu off-host request forgery, gdzie żądanie z ustalonego połączenia może zostać przekierowane na kontrolowany przez atakującego host, przekazując wartości z zakresu połączenia, takie jak nagłówki Authorization i domyślne parametry zapytania. Problem został naprawiony w wersji 2.14.3.

Ocena ryzyka

Ryzyko polega na możliwości przekierowania żądania na atakowany host z przekazaniem poufnych nagłówków, co może prowadzić do wycieku danych lub nieautoryzowanego dostępu.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki Faraday do wersji 2.14.3 lub nowszej oraz sprawdzenie, czy nie doszło do wycieku danych.

Inne podatności w Faraday

CVE-2026-54297Wysokie
Podatność w bibliotece Faraday pozwala na atak DoS poprzez przesłanie specjalnie spreparowanego zagnieżdżonego ciągu zapytania. Dekoder NestedParamsEncoder nie ogranicza głębokości zagnieżdżenia, co prowadzi do przepełnienia stosu i awarii wątku lub procesu roboczego.

Oryginalny opis (angielski, źródło NVD)

Faraday is an HTTP client library abstraction layer that provides a common interface over many adapters. Versions 2.0.0 through 2.14.1 still allow protocol-relative host override when the request target is passed as a URI object (rather than a String) to Faraday::Connection#build_exclusive_url. This bypasses the February 2026 fix for GHSA-33mh-2634-fwr2 and enables off-host request forgery: a request built from a fixed-base Faraday::Connection can be redirected to an attacker-controlled host, forwarding connection-scoped values such as Authorization headers and default query parameters. This issue has been fixed in version 2.14.3.