CVE-2026-84366 in Scrapy
요약
\~에 의해 VulDB • 2026. 09. 01.
Scrapy는 Python용 고급 웹 크롤링 및 스크래핑 프레임워크입니다. 버전 2.17.0 이전에는 scrapy/core/downloader/handlers/s3.py에서 Scrapy의 S3DownloadHandler가 request.meta["is_secure"]이 명시적으로 활성화되지 않는 한, S3-scheme 버킷 및 키 요청을 해당 S3 엔드포인트로 평문 HTTP 요청으로 변환한 후 구성된 AWS 자격 증명으로 서명하여 전송합니다. Scrapy와 S3 간 트래픽을 관찰할 수 있는 네트워크 공격자는 버킷 및 키 경로, AWS Authorization 헤더, 임시 자격 증명 사용 시 X-Amz-Security-Token, S3 객체 콘텐츠 및 S3 응답 헤더를 읽을 수 있습니다. 또한 중간자(Man-in-the-Middle) 공격자가 Scrapy가 처리하기 전에 평문 S3 응답 본문, 상태 코드 및 헤더를 수정하면 스크래핑된 데이터 오염, 내보내기 결과 오염, 캐싱이 활성화된 경우 HTTP 캐시 파손 또는 위조된 리디렉션이나 공격자 제어 링크를 통해 이후 크롤링 대상에 영향을 줄 수 있습니다. AWS 자격 증명을 사용하여 S3-scheme 요청을 수행하는 사용자가 영향을 받습니다. 이 문제는 버전 2.17.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.