PT-2022-28231 · Scrapy · Scrapy

Publicado

2022-07-29

·

Atualizado

2022-07-29

Nenhuma

Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões do Scrapy anteriores à 2.6.2
Versões do Scrapy anteriores à 1.8.3
Descrição
O problema ocorre quando o middleware de downloader com proxy HTTP integrado processa uma solicitação com metadados proxy que incluem credenciais de proxy. Em cenários em que são utilizados middlewares de downloader com rotação de proxy de terceiros, os metadados proxy podem ser alterados, mas o cabeçalho Proxy-Authentication dos metadados proxy anteriores pode não ser removido, levando ao vazamento de credenciais. Isso afeta usuários que alternam entre proxies de diferentes provedores e utilizam credenciais para qualquer um desses proxies.
Recomendações
Para versões do Scrapy anteriores à 2.6.2, atualize para o Scrapy 2.6.2.
Para versões do Scrapy anteriores à 1.8.3, nas quais a atualização para o Scrapy 2.6.2 não é uma opção, atualize para o Scrapy 1.8.3.
Como solução temporária, certifique-se de que qualquer código que altere a meta de solicitação proxy também remova o cabeçalho Proxy-Authorization da solicitação, se estiver presente.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Identificadores relacionados

GHSA-9X8M-2XPF-CRP3

Produtos afetados

Scrapy