CVE-2026-84366 in Scrapy
Sumário
de VulDB • 01/09/2026
O Scrapy é um framework de alto nível para web crawling e scraping em Python. Antes da versão 2.17.0, no arquivo scrapy/core/downloader/handlers/s3.py, o S3DownloadHandler do Scrapy converte uma solicitação com bucket e chave usando o esquema s3 em uma requisição HTTP em texto claro (plaintext) para o endpoint correspondente do S3, a menos que request.meta["is_secure"] esteja explicitamente habilitado; caso contrário, ele assina e envia a requisição em texto claro utilizando as credenciais AWS configuradas. Um atacante de rede capaz de observar o tráfego entre o Scrapy e o S3 pode ler o caminho do bucket e da chave, o cabeçalho Authorization da AWS, X-Amz-Security-Token (quando são usadas credenciais temporárias), os conteúdos dos objetos no S3 e os cabeçalhos de resposta do S3. Um atacante ativo em um ataque man-in-the-middle também pode modificar o corpo da resposta S3 em texto claro, o código de status e os cabeçalhos antes que o Scrapy os processe, causando envenenamento (poisoning) dos dados raspados, exportações contaminadas, HTTP cache poisoning quando o caching está habilitado ou influência sobre alvos futuros do crawling por meio de redirecionamentos falsificados ou links controlados pelo atacante. Os usuários que fazem solicitações com esquema s3 usando credenciais AWS são afetados. Este problema foi corrigido na versão 2.17.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.