CVE-2026-84366

Scrapy, Python üçün yüksək səviyyəli veb sürüşdürmə (crawling) və məlumat toplama (scraping) freymvorkudur. 2.17.0 versiyasından əvvəl, scrapy/core/downloader/handlers/s3.py faylında Scrapy-nin S3DownloadHandler komponenti, request.meta["is_secure"] açıq şəkildə aktiv edilmədikdə, S3 sxemli bucket və key sorğusunu müvafiq S3 son nöqtəsinə (endpoint) yönəlmiş düz mətn formatlı HTTP sorğusuna çevirir, daha sonra konfiqurasiya edilmiş AWS etibarnamələri ilə həmin düz mətn sorğusunu imzalayır və göndərir. Scrapy və S3 arasındakı trafiki izləyə bilən şəbəkə hücumçusu bucket və key yolunu, AWS Authorization başlığını, müvəqqəti etibarnamələrdən istifadə edildikdə X-Amz-Security-Token-i, S3 obyektinin məzmununu və S3 cavab başlıqlarını oxuya bilər. Aktiv "man-in-the-middle" hücumçusu həmçinin Scrapy onları emal etməzdən əvvəl düz mətn formatlı S3 cavab gövdəsini, status kodunu və başlıqlarını dəyişdirə bilər ki, bu da toplanan məlumatların zəhərlənməsinə, zəhərlənmiş eksportlara, keşləmə aktiv olduqda HTTP keşinin zəhərlənməsinə və ya saxtalaşdırılmış yönləndirmələr və ya hücumçu tərəfindən idarə olunan linklər vasitəsilə sonrakı sürüşdürmə hədəflərinə təsir göstərilməsinə səbəb ola bilər. AWS etibarnamələri ilə S3 sxemli sorğular edən istifadəçilər bu problemdən təsirlənir. Bu problem 2.17.0 versiyasında aradan qaldırılıb.