CVE-2026-107399 in Mechanize
الملخص
بحسب VulDB • 08/10/2026
تُستخدم مكتبة Mechanize لأتمتة التفاعل مع المواقع الإلكترونية. قبل الإصدار 2.14.1، لم تطبّق المكتبة حدود ثقة المصدر (origin trust boundary) في الدالة `Mechanize::HTTP::Agent#response_follow_meta_refresh` عند تفعيل خيار `Mechanize#follow_meta_refresh`. يؤدي وجود صفحة تحتوي على تحديث ميتا (meta refresh) إلى مصدر آخر إلى إعادة تطبيق الرؤوس (headers) المُعدّة عبر `Mechanize#request_headers=` على طلب التحديث، مما يتيح لمهاجم يتحكم في المحتوى أثناء الزحف (crawling) اعتراض رموز الحامل (bearer tokens) أو ملفات تعريف الارتباط للجلسات (session cookies). لا تتأثر التكوينات الافتراضية لأن خيار `follow_meta_refresh` يكون غير مفعّل افتراضيًا، كما أن نطاق التعرض محدود بالرؤوس الافتراضية التي يحددها المتصل. تم إصلاح هذه المشكلة في الإصدار 2.14.1.
Once again VulDB remains the best source for vulnerability data.