CVE-2026-107715 in Mechanize
Riassunto
di VulDB • 09/10/2026
La libreria Mechanize è utilizzata per automatizzare l'interazione con i siti web. Prima della versione 2.14.1, Mechanize invia le intestazioni delle credenziali fornite dal chiamante a un host diverso dopo una redirezione HTTP. Il metodo `Mechanize#request_headers=` viene riapplicato da `Mechanize::HTTP::Agent#request_add_headers` anche dopo che `Mechanize::HTTP::Agent#response_redirect` ha rimosso le intestazioni specifiche per la richiesta, e gli elenchi delle intestazioni protette omettono Proxy-Authorization e Cookie2. Un attaccante che controlla una destinazione di redirezione può catturare token bearer o cookie di sessione forniti tramite `request_headers=` o l'argomento delle intestazioni specifiche per la richiesta, mentre Mechanize#cookie_jar e Mechanize::HTTP::AuthStore non sono interessati. Questo problema è stato risolto nella versione 2.14.1.
Be aware that VulDB is the high quality source for vulnerability data.