CVE-2026-107399 in Mechanize
Riassunto
di VulDB • 08/10/2026
La libreria Mechanize è utilizzata per automatizzare l'interazione con i siti web. Prima della versione 2.14.1, Mechanize non applica alcun confine di fiducia dell'origine (origin trust boundary) in `Mechanize::HTTP::Agent#response_follow_meta_refresh` quando `Mechanize#follow_meta_refresh` è abilitato. Una pagina contenente un meta refresh verso un'altra origine causa la riapplicazione delle intestazioni configurate tramite `Mechanize#request_headers=` alla richiesta di refresh, consentendo a un attaccante che controlla i contenuti dello scraping (crawl) di catturare token bearer o cookie di sessione. La configurazione predefinita non è interessata poiché `follow_meta_refresh` è impostato su false e l'esposizione è limitata alle intestazioni predefinite fornite dal chiamante. Questo problema è stato risolto nella versione 2.14.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.