« Volver al listado

CVE-2026-107714

Estado: Pendiente de análisisMedia (5.9)—

La biblioteca Mechanize se utiliza para automatizar la interacción con sitios web. En versiones anteriores a la 2.14.1, Mechanize::HTTP::Agent#response_redirect trata las redirecciones como del mismo origen cuando el host coincide, sin comparar de forma coherente el esquema y el puerto. Una redirección de HTTPS a HTTP en el mismo host puede enviar las cabeceras Authorization y Cookie en texto claro, mientras que una redirección en el mismo host a otro puerto puede enviar una cabecera Cookie proporcionada por el llamante a un servicio diferente.

Leer descripción completaMostrar menos

Las cookies de Mechanize#cookie_jar mantienen su ámbito por separado; el problema afecta a las cabeceras proporcionadas por el llamante y puede divulgar credenciales sin afectar a la integridad ni a la disponibilidad. Este problema está corregido en la versión 2.14.1.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad de exposición de credenciales en redirecciones HTTP/HTTPS no validadas: HTTPS→HTTP expone Authorization/Cookie en texto claro (CWE-319, CWE-522); acceso de red remoto sin autenticación (PR:N, AV:N) permite manipular redirecciones para capturar secrets.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkVulnerability ScanningUser Account ManagementFilter Network Traffic

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Mechanize — MechanizeAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107714",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107714",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-09T15:06:36.604518Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.9,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "sparklemotion",
          "product": "mechanize",
          "versions": [
            {
              "status": "affected",
              "version": "< 2.15.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T22:17:27.003",
  "references": [
    {
      "url": "https://github.com/sparklemotion/mechanize/commit/02a1235842d6eda8d4a5a3d8f13aba2cecf52e4f",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/sparklemotion/mechanize/commit/2f97fe358a91928e5e48221f2ec5cb50fa1a43ba",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/sparklemotion/mechanize/pull/676",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/sparklemotion/mechanize/releases/tag/v2.14.1",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/sparklemotion/mechanize/security/advisories/GHSA-5jgv-wc2m-xv99",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-200"
        },
        {
          "lang": "en",
          "value": "CWE-319"
        },
        {
          "lang": "en",
          "value": "CWE-522"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The Mechanize library is used for automating interaction with websites. Prior to 2.14.1, Mechanize::HTTP::Agent#response_redirect treats redirects as same-origin when the host matches without consistently comparing scheme and port. A same-host HTTPS-to-HTTP redirect can send Authorization and Cookie headers over cleartext, while a same-host redirect to another port can send a caller-supplied Cookie header to a different service. Cookies in Mechanize#cookie_jar remain scoped separately; the issue affects caller-supplied headers and can disclose credentials without affecting integrity or availability. This issue is fixed in version 2.14.1."
    }
  ],
  "lastModified": "2026-10-09T16:38:57.820",
  "sourceIdentifier": "security-advisories@github.com"
}