CVE-2026-25765 in faraday
요약
\~에 의해 VulDB • 2026. 05. 31.
Faraday는 여러 어댑터 위에 공통 인터페이스를 제공하는 HTTP 클라이언트 라이브러리 추상화 레이어입니다. 2.14.1 이전 버전에서 Faraday의 `build_exclusive_url` 메서드(파일: `lib/faraday/connection.rb`)는 Ruby의 `URI#merge`를 사용하여 연결의 기본 URL과 사용자가 제공한 경로를 결합합니다. RFC 3986에 따르면 프로토콜 상대 URL(예: `//evil.com/path`)은 기본 URL의 호스트/권한 구성 요소를 재정의하는 네트워크 경로 참조로 처리됩니다. 이는 애플리케이션이 Faraday의 `get()`, `post()`, `build_url()` 또는 기타 요청 메서드에 사용자 제어 입력을 전달하는 경우, 공격자가 `//attacker.com/endpoint`와 같은 프로토콜 상대 URL을 제공하여 요청을 임의의 호스트로 리디렉션할 수 있음을 의미하며, 이로 인해 서버 측 요청 위조(SSRF)가 가능해집니다. 이 취약점은 2.14.1에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.