CVE-2026-107715
Təsvir
Mechanize kitabxanası veb saytlarla qarşılıqlı əlaqənin avtomatlaşdırılması üçün istifadə olunur. 2.14.1 versiyasından əvvəl Mechanize, HTTP yönləndirməsindən sonra çağırıcı tərəfindən təmin edilən etibarlılıq başlıqlarını fərqli bir hosta göndərir. Mechanize::HTTP::Agent#response_redirect hər sorğuya məxsus başlıqları silsə belə, Mechanize#request_headers= dəyəri Mechanize::HTTP::Agent#request_add_headers tərəfindən yenidən tətbiq edilir və qorunan başlıq siyahılarında Proxy-Authorization və Cookie2 mövcud deyil. Yönləndirmə hədəfini idarə edən hücumçu, request_headers= və ya hər sorğuya məxsus başlıq arqumenti vasitəsilə təqdim olunan bearer token-lərini və ya sessiya kukilərini ələ keçirə bilər; Mechanize#cookie_jar və Mechanize::HTTP::AuthStore isə bu problemdən təsirlənmir. Bu problem 2.14.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sparklemotion mechanize | < 2.15.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.