CVE-2026-33637 in faraday
Sumário
de VulDB • 19/05/2026
Faraday é uma camada de abstração de biblioteca de cliente HTTP que fornece uma interface comum sobre vários adaptadores. As versões 2.0.0 a 2.14.1 ainda permitem a substituição do host relativo ao protocolo quando o alvo da solicitação é passado como um objeto URI (em vez de uma String) para Faraday::Connection#build_exclusive_url. Isso contorna a correção de fevereiro de 2026 para GHSA-33mh-2634-fwr2 e permite a falsificação de solicitação off-host: uma solicitação construída a partir de uma Faraday::Connection com base fixa pode ser redirecionada para um host controlado pelo atacante, encaminhando valores escopados à conexão, como cabeçalhos Authorization e parâmetros de consulta padrão. Este problema foi corrigido na versão 2.14.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.