CVE-2026-107399
Təsvir
Mechanize kitabxanası veb saytlarla qarşılıqlı əlaqənin avtomatlaşdırılması üçün istifadə olunur. Versiya 2.14.1-dən əvvəl, Mechanize#follow_meta_refresh aktiv olduqda, Mechanize::HTTP::Agent#response_follow_meta_refresh funksiyasında heç bir mənşə etibar sərhədi (origin trust boundary) tətbiq edilmir. Başqa mənşəyə yönləndirən meta refresh ehtiva edən səhifə, Mechanize#request_headers= vasitəsilə konfiqurasiya edilmiş başlıqların yeniləmə sorğusuna yenidən tətbiq edilməsinə səbəb olur və bu, sürüşdürmə (crawl) prosesindəki məzmunu idarə edən hücumçuya bearer tokenlərini və ya sessiya kukilərini ələ keçirməyə imkan verir. Defolt konfiqurasiyaya təsir etmir, çünki follow_meta_refresh false dəyərinə malikdir və risk yalnız çağırıcı tərəfindən təmin edilən defolt başlıqlarla məhdudlaşır. Bu problem 2.14.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sparklemotion mechanize | < 2.15.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.