CVE-2026-25765
Təsvir
Faraday bir çox adapter üzərində ümumi interfeys təmin edən HTTP klient kitabxanası abstraksiya təbəqəsidir. 2.14.1 versiyasından əvvəl Faraday-in build_exclusive_url metodu (lib/faraday/connection.rb faylında) bağlantının baza URL-ni istifadəçi tərəfindən təqdim edilən yol ilə birləşdirmək üçün Ruby-nin URI#merge metodundan istifadə edir. RFC 3986-ya əsasən, protokoldan asılı olmayan URL-lər (məsələn, //evil.com/path) baza URL-nin host/authority komponentini əvəz edən şəbəkə-yol istinadları kimi qəbul edilir. Bu o deməkdir ki, əgər hər hansı bir tətbiq istifadəçi tərəfindən idarə olunan girişi Faraday-in get(), post(), build_url() və ya digər sorğu metodlarına ötürərsə, hücumçu sorğunu ixtiyari hosta yönləndirmək üçün //attacker.com/endpoint kimi protokoldan asılı olmayan URL təqdim edə bilər ki, bu da Server-Side Request Forgery (SSRF) zəifliyini yaradır. Bu zəiflik 2.14.1 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- faraday_project faraday1.10.5, 2.14.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| faraday_project faraday | 1.0.0 ≤ v < 1.10.5, 2.0.0 ≤ v < 2.14.1 | 1.10.5, 2.14.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.