« Volver al listado

CVE-2026-107399

Estado: AplazadaMedia (6.8)—

La biblioteca Mechanize se utiliza para automatizar la interacción con sitios web. En versiones anteriores a la 2.14.1, Mechanize no aplica ningún límite de confianza de origen en Mechanize::HTTP::Agent#response_follow_meta_refresh cuando Mechanize#follow_meta_refresh está habilitado. Una página que contenga un meta refresh hacia otro origen hace que las cabeceras configuradas mediante Mechanize#request_headers= vuelvan a aplicarse a la solicitud de refresco, lo que permite a un atacante que controle contenido del rastreo capturar tokens portadores o cookies de sesión.

Leer descripción completaMostrar menos

La configuración predeterminada no está afectada porque follow_meta_refresh es false, y la exposición se limita a las cabeceras predeterminadas proporcionadas por el llamante. Este problema está corregido en la versión 2.14.1.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

AV:N sin privilegios ni interacción del usuario indica T1190. La vulnerabilidad permite captura de bearer tokens y cookies de sesión (T1552.007) mediante meta refresh manipulado hacia otro origen, exponiéndose datos sensibles almacenados en memoria (T1005).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkVulnerability ScanningUser Account ManagementFilter Network Traffic

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Mechanize — MechanizeAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107399",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107399",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T01:21:27.011574Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 6.8,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 4,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "sparklemotion",
          "product": "mechanize",
          "versions": [
            {
              "status": "affected",
              "version": "< 2.15.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T22:17:26.683",
  "references": [
    {
      "url": "https://github.com/sparklemotion/mechanize/commit/02a1235842d6eda8d4a5a3d8f13aba2cecf52e4f",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/sparklemotion/mechanize/commit/84c74df87d15f5d119df268ba6aa79bc1e16a2c3",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/sparklemotion/mechanize/pull/676",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/sparklemotion/mechanize/releases/tag/v2.14.1",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/sparklemotion/mechanize/security/advisories/GHSA-c6rp-p8xm-4q9f",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-200"
        },
        {
          "lang": "en",
          "value": "CWE-522"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The Mechanize library is used for automating interaction with websites. Prior to 2.14.1, Mechanize applies no origin trust boundary in Mechanize::HTTP::Agent#response_follow_meta_refresh when Mechanize#follow_meta_refresh is enabled. A page containing a meta refresh to another origin causes headers configured through Mechanize#request_headers= to be reapplied to the refresh request, allowing an attacker who controls content in the crawl to capture bearer tokens or session cookies. The default configuration is not affected because follow_meta_refresh is false, and the exposure is limited to caller-supplied default headers. This issue is fixed in version 2.14.1."
    }
  ],
  "lastModified": "2026-10-14T02:16:57.060",
  "sourceIdentifier": "security-advisories@github.com"
}