CVE-2026-107715 in Mechanize
Zusammenfassung
von VulDB • 08.10.2026
Die Bibliothek Mechanize wird zur Automatisierung der Interaktion mit Websites verwendet. Vor Version 2.14.1 sendet Mechanize vom Aufrufer bereitgestellte Anmeldeheader an einen anderen Host nach einer HTTP-Umleitung (Redirect). `Mechanize#request_headers=` wird von `Mechanize::HTTP::Agent#request_add_headers` erneut angewendet, selbst nachdem `Mechanize::HTTP::Agent#response_redirect` pro-Anfrage-Header entfernt hat; die geschützten Headerlisten lassen Proxy-Authorization und Cookie2 aus. Ein Angreifer, der ein Umleitungsziel kontrolliert, kann Bearer-Tokens oder Sitzungs-Cookies abfangen, die über `request_headers=` oder das Argument für pro-Anfrage-Header bereitgestellt wurden, während Mechanize#cookie_jar und Mechanize::HTTP::AuthStore nicht betroffen sind. Dieses Problem wurde in Version 2.14.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.