PT-2024-40346 · Scrapy · Scrapy

Publicado

2024-05-14

·

Atualizado

2024-05-14

CVSS v3.1

4.3

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do Scrapy anteriores à 2.11.2
Descrição
O problema ocorre ao usar configurações de proxy do sistema específicas para um determinado esquema, ou seja, específicas para URLs http:// ou https://. Durante redirecionamentos, o Scrapy não leva em conta as mudanças de esquema, resultando no uso contínuo da configuração de proxy original em vez de mudar para a configuração apropriada para o novo esquema. Isso representa um risco de segurança se configurações de proxy diferentes forem usadas para HTTP e HTTPS por motivos de segurança, como impedir que um provedor de proxy tenha conhecimento das URLs visitadas pelo outro.
Recomendações
Atualize para o Scrapy 2.11.2.
Como solução alternativa temporária, considere substituir os middlewares de repetição integrados (RedirectMiddleware e MetaRefreshMiddleware) e o middleware HttpProxyMiddleware por middlewares personalizados que implementem a correção do Scrapy 2.11.2 e verifique se eles funcionam conforme o esperado.

Correção

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Identificadores relacionados

GHSA-JM3V-QXMH-HXWV

Produtos afetados

Scrapy