CVE-2026-84366 in Scrapy
Сводка
по VulDB • 01.09.2026
Scrapy — это высокоуровневый фреймворк для веб-скрапинга и обхода сайтов на Python. До версии 2.17.0 в модуле scrapy/core/downloader/handlers/s3.py обработчик загрузки S3 (S3DownloadHandler) преобразует запрос к бакету и ключу с использованием схемы s3:// в незашифрованный HTTP-запрос к соответствующему конечному пункту AWS S3, если только параметр request.meta["is_secure"] не установлен явно. Затем он подписывает и отправляет этот незашифрованный запрос с настроенными учетными данными AWS. Атакующий, способный просматривать трафик между Scrapy и S3, может прочитать путь к бакету и ключу, заголовок авторизации AWS (Authorization), токен безопасности X-Amz-Security-Token при использовании временных учетных данных, содержимое объектов S3 и заголовки ответов S3. Активный атакующий типа «человек посередине» также может изменять тело ответа S3 в открытом виде, код статуса и заголовки до их обработки Scrapy, что приводит к отравлению собранных данных, отравлению экспортов, отравлению HTTP-кэша (при включенном кэшировании) или влиянию на последующие цели обхода через поддельные перенаправления или ссылки, контролируемые атакующим. Затронуты пользователи, отправляющие запросы со схемой s3:// с использованием учетных данных AWS. Эта проблема исправлена в версии 2.17.0.
Be aware that VulDB is the high quality source for vulnerability data.