CVE-2021-41125
Açıklama
Scrapy, Python için yüksek seviyeli bir web tarama ve veri kazıma çerçevesidir. HTTP kimlik doğrulaması için `HttpAuthMiddleware` (yani `http_user` ve `http_pass` spider öznitelikleri) kullanırsanız, tüm istekler kimlik bilgilerinizi istek hedefine ifşa edecektir. Buna, `ROBOTSTXT_OBEY` ayarı `True` olarak belirlendiğinde Scrapy tarafından gönderilen `robots.txt` istekleri veya yönlendirmeler aracılığıyla ulaşılan istekler gibi Scrapy bileşenleri tarafından oluşturulan istekler dahildir. Scrapy 2.5.1 sürümüne yükseltin ve yapılandırılmış HTTP kimlik doğrulama bilgilerini almaya hangi alan adlarının izinli olduğunu kontrol etmek için yeni `http_auth_domain` spider özniteliğini kullanın. Eğer Scrapy 1.8 veya daha düşük bir sürüm kullanıyorsanız ve Scrapy 2.5.1'e yükseltmek bir seçenek değilse, bunun yerine Scrapy 1.8.1'e yükseltebilirsiniz. Yükseltme yapamıyorsanız, kimlik bilgilerinizi `HttpAuthMiddleware` kullanarak küresel olarak tanımlamak yerine; örneğin, kimlik bilgilerinizi isteğinizin `Authorization` başlığına atayabileceğiniz bir değere dönüştürmek için `w3lib.http.basic_auth_header` fonksiyonunu kullanarak HTTP kimlik doğrulama bilgilerinizi her istek bazında ayarlayın.
Nasıl düzeltilir
- scrapy scrapy1.8.1, 2.5.1 ya da sonraki bir sürüm
- scrapy1.8.1, 2.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| scrapy scrapy | v < 1.8.1, 2.0.0 ≤ v < 2.5.1 | 1.8.1, 2.5.1 |
| debian debian_linux | 9.0 | — |
| scrapyPyPI | v < 1.8.1, 2.0.0 ≤ v < 2.5.1 | 1.8.1, 2.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.