Authorization header leak in rubygem Mechanize
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
La biblioteca Mechanize filtra el header Authorization (que contiene credenciales sensibles) cuando un sitio te redirige a un puerto diferente en el mismo dominio. Esto significa que tus credenciales de inicio de sesión podrían ser expuestas a un atacante que controle ese puerto alternativo.
Vulnerabilidad CWE-200 de divulgación de información en Mechanize versiones anteriores a 2.8.5: la biblioteca no limpia el header Authorization durante redirecciones entre puertos diferentes en el mismo host, permitiendo que las credenciales se transmitan a un endpoint no previsto. El vector de ataque requiere que la aplicación siga un redireccionamiento malicioso; el impacto es la exposición de credenciales si el atacante controla el puerto alternativo.