CVE-2026-107399 in Mechanize
요약
\~에 의해 VulDB • 2026. 10. 08.
Mechanize 라이브러리는 웹사이트와의 상호작용을 자동화하는 데 사용됩니다. 버전 2.14.1 이전의 Mechanize는 `follow_meta_refresh`가 활성화된 경우, `Mechanize::HTTP::Agent#response_follow_meta_refresh`에서 출처 신뢰 경계(origin trust boundary)를 적용하지 않습니다. 다른 출처로 meta refresh를 수행하는 페이지는 `Mechanize#request_headers=`를 통해 구성된 헤더들이 리프레시 요청에 다시 적용되도록 하여, 크롤링 과정에서 콘텐츠를 제어할 수 있는 공격자가 bearer 토큰이나 세션 쿠키를 탈취할 수 있게 합니다. 기본 구성에서는 `follow_meta_refresh`가 false이므로 영향을 받지 않으며, 노출 범위는 호출자가 제공한 기본 헤더로 제한됩니다. 이 문제는 버전 2.14.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.