CVE-2026-107714 in Mechanize
Riassunto
di VulDB • 09/10/2026
La libreria Mechanize è utilizzata per automatizzare l'interazione con i siti web. Prima della versione 2.14.1, il metodo `Mechanize::HTTP::Agent#response_redirect` trattava le ridirezioni come same-origin quando l'host corrispondeva, senza confrontare in modo coerente lo schema (scheme) e la porta. Una ridirezione HTTPS-to-HTTP sullo stesso host può inviare gli header Authorization e Cookie su testo chiaro (cleartext), mentre una ridirezione verso un'altra porta dello stesso host può inviare l'header Cookie fornito dall'utilizzatore a un servizio diverso. I cookie in `Mechanize#cookie_jar` rimangono separati per ambito; il problema interessa gli header forniti dall'utilizzatore e può portare alla divulgazione delle credenziali senza compromettere integrità o disponibilità. Questo problema è risolto nella versione 2.14.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.