CVE-2026-33637
NieznaneCVSS 0.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Faraday to biblioteka HTTP client library abstraction layer. W wersjach od 2.0.0 do 2.14.1 nadal możliwe jest nadpisywanie hosta względem protokołu, gdy cel żądania jest przekazywany jako obiekt URI (a nie jako String) do metody Faraday::Connection#build_exclusive_url. Obejście to pozwala na ataki typu off-host request forgery, gdzie żądanie z ustalonego połączenia może zostać przekierowane na kontrolowany przez atakującego host, przekazując wartości z zakresu połączenia, takie jak nagłówki Authorization i domyślne parametry zapytania. Problem został naprawiony w wersji 2.14.3.
Ocena ryzyka
Ryzyko polega na możliwości przekierowania żądania na atakowany host z przekazaniem poufnych nagłówków, co może prowadzić do wycieku danych lub nieautoryzowanego dostępu.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki Faraday do wersji 2.14.3 lub nowszej oraz sprawdzenie, czy nie doszło do wycieku danych.
Inne podatności w Faraday
Zobacz wszystkie- CVE-2026-25765Średnie
W bibliotece Faraday metoda build_exclusive_url używa URI#merge do łączenia bazowego adresu URL z ścieżką podaną przez użytkownika. Protokołowo-relatywne adresy URL (np. //evil.com/path) mogą nadpisać host bazowego adresu, umożliwiając atakującemu przekierowanie żądania do dowolnego hosta i przeprowadzenie Server-Side Request Forgery (SSRF). Problem naprawiono w wersji 2.14.1.
- CVE-2026-54297Wysokie
Podatność w bibliotece Faraday pozwala na atak DoS poprzez przesłanie specjalnie spreparowanego zagnieżdżonego ciągu zapytania. Dekoder NestedParamsEncoder nie ogranicza głębokości zagnieżdżenia, co prowadzi do przepełnienia stosu i awarii wątku lub procesu roboczego.
Oryginalny opis (angielski, źródło NVD)
Faraday is an HTTP client library abstraction layer that provides a common interface over many adapters. Versions 2.0.0 through 2.14.1 still allow protocol-relative host override when the request target is passed as a URI object (rather than a String) to Faraday::Connection#build_exclusive_url. This bypasses the February 2026 fix for GHSA-33mh-2634-fwr2 and enables off-host request forgery: a request built from a fixed-base Faraday::Connection can be redirected to an attacker-controlled host, forwarding connection-scoped values such as Authorization headers and default query parameters. This issue has been fixed in version 2.14.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS