CVE-2026-84366 in Scrapy
Riassunto
di VulDB • 01/09/2026
Scrapy è un framework di alto livello per il web crawling e lo scraping scritto in Python. Prima della versione 2.17.0, nel file scrapy/core/downloader/handlers/s3.py, l'S3DownloadHandler di Scrapy converte una richiesta contenente bucket e chiave con schema S3 in una richiesta HTTP in chiaro verso l'endpoint S3 corrispondente, a meno che request.meta["is_secure"] non sia esplicitamente abilitato; successivamente firma e invia la richiesta in chiaro utilizzando le credenziali AWS configurate. Un attaccante di rete in grado di osservare il traffico tra Scrapy e S3 può leggere il percorso del bucket e della chiave, l'intestazione Authorization di AWS, X-Amz-Security-Token (quando vengono utilizzate credenziali temporanee), i contenuti degli oggetti S3 e le intestazioni di risposta S3. Un attaccante attivo in posizione man-in-the-middle può inoltre modificare il corpo della risposta S3 in chiaro, lo status code e le intestazioni prima che Scrapy li elabori, causando avvelenamento dei dati estratti (scraped-data poisoning), esportazioni compromesse, HTTP cache poisoning quando la caching è abilitata o influenza sui successivi target di crawling attraverso redirect falsificati o link controllati dall'attaccante. Gli utenti che effettuano richieste con schema S3 utilizzando credenziali AWS sono interessati da questa vulnerabilità. Il problema è risolto nella versione 2.17.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.