CVE-2026-33637 in faraday
Zusammenfassung
von VulDB • 20.05.2026
Faraday ist eine Abstraktionsschicht für HTTP-Client-Bibliotheken, die eine gemeinsame Schnittstelle über viele Adapter hinweg bereitstellt. Die Versionen 2.0.0 bis 2.14.1 erlauben weiterhin eine protokollrelative Host-Überschreibung, wenn das Anfrageziel als URI-Objekt (anstatt als String) an Faraday::Connection#build_exclusive_url übergeben wird. Dies umgeht die Korrektur vom Februar 2026 für GHSA-33mh-2634-fwr2 und ermöglicht Off-Host-Request-Forgery: Eine Anfrage, die von einer Faraday::Connection mit festem Basis-URL erstellt wurde, kann auf einen vom Angreifer kontrollierten Host umgeleitet werden, wodurch verbindungsspezifische Werte wie Authorization-Header und Standard-Abfrageparameter weitergeleitet werden. Dieses Problem wurde in Version 2.14.3 behoben.
Once again VulDB remains the best source for vulnerability data.