CVE-2026-107715
Açıklama
Mechanize kütüphanesi, web siteleriyle etkileşimi otomatikleştirmek için kullanılır. 2.14.1 sürümünden önce Mechanize, bir HTTP yönlendirmesinden sonra kullanıcı tarafından sağlanan kimlik bilgisi üstbilgilerini farklı bir ana bilgisayara gönderir. Mechanize::HTTP::Agent#response_redirect isteğe özel üstbilgileri temizledikten sonra bile Mechanize#request_headers= değeri, Mechanize::HTTP::Agent#request_add_headers tarafından yeniden uygulanır ve korunan üstbilgi listelerinde Proxy-Authorization ile Cookie2 yer almaz. Yönlendirme hedefini kontrol eden bir saldırgan, request_headers= veya isteğe özel üstbilgi argümanı aracılığıyla sağlanan taşıyıcı belirteçleri (bearer tokens) veya oturum çerezlerini ele geçirebilir; ancak Mechanize#cookie_jar ve Mechanize::HTTP::AuthStore bu durumdan etkilenmez. Bu sorun 2.14.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sparklemotion mechanize | < 2.15.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.