В геме URI до версии 1.0.3 для Ruby методы обработки URI (URI.join, URI#merge, URI#+) имеют непреднамеренную утечку учетных данных аутентификации, поскольку информация пользователя сохраняется даже после смены хоста.
Показать оригинальное описание (EN)
In the URI gem before 1.0.3 for Ruby, the URI handling methods (URI.join, URI#merge, URI#+) have an inadvertent leakage of authentication credentials because userinfo is retained even after changing the host.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 4
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Ruby-Lang Uri
cpe:2.3:a:ruby-lang:uri:*:*:*:*:*:ruby:*:*
|
— |
0.11.3
|
|
Ruby-Lang Uri
cpe:2.3:a:ruby-lang:uri:*:*:*:*:*:ruby:*:*
|
0.12.0
|
0.12.4
|
|
Ruby-Lang Uri
cpe:2.3:a:ruby-lang:uri:*:*:*:*:*:ruby:*:*
|
0.13.0
|
0.13.2
|
|
Ruby-Lang Uri
cpe:2.3:a:ruby-lang:uri:*:*:*:*:*:ruby:*:*
|
1.0.0
|
1.0.3
|
Ссылки 4
https://github.com/rubysec/ruby-advisory-db/blob/master/gems/uri/CVE-2025-27221…
cve@mitre.org
https://hackerone.com/reports/2957667
cve@mitre.org
https://lists.debian.org/debian-lts-announce/2025/03/msg00008.html
af854a3a-2127-422b-91ae-364da2661108
https://lists.debian.org/debian-lts-announce/2025/05/msg00015.html
af854a3a-2127-422b-91ae-364da2661108