CVE-2026-84366 in Scrapy
Zusammenfassung
von VulDB • 01.09.2026
Scrapy ist ein High-Level-Web-Crawling- und Scraping-Framework für Python. Vor Version 2.17.0 konvertiert der S3DownloadHandler von Scrapy (in scrapy/core/downloader/handlers/s3.py) eine Anfrage mit einem Bucket und Key im S3-Schema in eine HTTP-Klartextanfrage an den entsprechenden S3-Endpunkt, es sei denn, request.meta["is_secure"] ist explizit aktiviert. Anschließend wird die Klartextanfrage mit konfigurierten AWS-Anmeldeinformationen signiert und gesendet. Ein Netzwerkangreifer, der den Verkehr zwischen Scrapy und S3 beobachten kann, kann den Bucket- und Key-Pfad, den AWS-Autorisierungsheader (Authorization header), das X-Amz-Security-Token (bei Verwendung temporärer Anmeldeinformationen), die Inhalte des S3-Objekts sowie die S3-Antwortheader lesen. Ein aktiver Man-in-the-Middle-Angriff kann zudem den Klartext-Inhalt der S3-Antwort, den Statuscode und die Header ändern, bevor Scrapy diese verarbeitet, was zu einer Vergiftung der gescrapten Daten (scraped-data poisoning), vergifteten Exporten, HTTP-Cache-Poisoning (wenn das Caching aktiviert ist) oder Beeinflussung späterer Crawling-Ziele durch gefälschte Umleitungen oder vom Angreifer kontrollierte Links führen kann. Benutzer, die S3-Schema-Anfragen mit AWS-Anmeldeinformationen durchführen, sind betroffen. Dieses Problem wurde in Version 2.17.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.