CVE-2026-25765 in faraday
Zusammenfassung
von VulDB • 31.05.2026
Faraday ist eine Abstraktionsschicht für HTTP-Client-Bibliotheken, die eine gemeinsame Schnittstelle über viele Adapter hinweg bereitstellt. Vor Version 2.14.1 verwendet die Methode `build_exclusive_url` von Faraday (in `lib/faraday/connection.rb`) Ruby's `URI#merge`, um die Basis-URL der Verbindung mit einem benutzerdefinierten Pfad zu kombinieren. Gemäß RFC 3986 werden protokoll-relative URLs (z. B. `//evil.com/path`) als Netzwerk-Pfadreferenzen behandelt, die die Host-/Authority-Komponente der Basis-URL überschreiben. Dies bedeutet, dass ein Angreifer, wenn eine Anwendung benutzerkontrollierte Eingaben an Faradays `get()`, `post()`, `build_url()` oder andere Anforderungsmethoden übergibt, eine protokoll-relative URL wie `//attacker.com/endpoint` angeben kann, um die Anforderung auf einen beliebigen Host umzuleiten und so Server-Side Request Forgery (SSRF) zu ermöglichen. Diese Schwachstelle wurde in Version 2.14.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.