anonhaven
Ad

CVE-2026-105221

CRITICAL CVSS 4.0: 9,1 EPSS 0.18%
Обновлено 6 октября 2026
Defunkt
Параметр Значение
CVSS 9,1 (CRITICAL)
Уязвимые версии до 6.1.0
Тип уязвимости CWE-295 (Неправильная проверка сертификата)
Поставщик Defunkt
Публичный эксплойт Нет

The gist RubyGem before 6.1.0 contains an improper certificate validation vulnerability that allows on-path attackers to intercept HTTPS traffic because http_connection in lib/gist.rb sets VERIFY_NONE. Attackers can present any certificate to read or modify GitHub API traffic, stealing OAuth tokens and login credentials to read and modify the victim's gists.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Высокая
Сложно эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-295 Improper Certificate Validation (Неправильная проверка сертификата)

Уязвимые продукты

defunkt:gist

Ссылки 5

https://github.com/defunkt/gist/issues/373
GitHub Issue #373
https://github.com/defunkt/gist
NVD
https://github.com/defunkt/gist/blob/v6.0.0/lib/gist.rb#L466-L468
NVD
https://github.com/defunkt/gist/commit/07ccc1a6d46e9d36f0e85d0b1c5d795890ae6bcf
NVD
https://www.vulncheck.com/advisories/gist-rubygem-before-6.1.0-disabled-tls-cer…
VulnCheck Advisory: Gist RubyGem before 6.1.0 Disabled TLS Certificate Verification
Share Post Share Share Share