CVE-2021-21289highCWE-78

CVE-2021-21289: fallo de gravedad alta en sparklemotion mechanize

Command Injection Vulnerability in Mechanize

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear mechanize+ Monitorear ruby-mechanize

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.4epss 3.5%
En resumen

Mechanize, una biblioteca Ruby para automatización web, tiene una vulnerabilidad donde atacantes pueden ejecutar comandos del sistema si se usan nombres de archivo no confiables en ciertas funciones de guardado de archivos. El problema ocurre porque la biblioteca no valida adecuadamente las rutas de archivo antes de abrirlas.

Detalle técnico

Vulnerabilidad de inyección de comando (CWE-78) en Mechanize versiones 2.0.0–2.7.6 explotable mediante el manejo inadecuado de rutas de archivo en llamadas Kernel.open a través de los métodos CookieJar#load, CookieJar#save_as, download, Download#save, File#save y FileResponse#read_body. Vector de ataque requiere entrada de nombre de archivo controlada por el atacante; el impacto incluye ejecución arbitraria de comandos del SO con privilegios de la aplicación.

Resumen generado y traducido por IA a partir de la descripción oficial.
Mechanize is an open-source ruby library that makes automated web interaction easy. In Mechanize from version 2.0.0 and before version 2.7.7 there is a command injection vulnerability. Affected versions of mechanize allow for OS commands to be injected using several classes' methods which implicitly use Ruby's Kernel.open method. Exploitation is possible only if untrusted input is used as a local filename and passed to any of these calls: Mechanize::CookieJar#load, Mechanize::CookieJar#save_as, Mechanize#download, Mechanize::Download#save, Mechanize::File#save, and Mechanize::FileResponse#read_body. This is fixed in version 2.7.7.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:N
Productos afectados
sparklemotion · mechanize
CVEs relacionadas — sparklemotion mechanize

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-31033MEDIUMAuthorization header leak in rubygem MechanizeEPSS 1.5%CVE-2026-107715MEDIUMMechanize sends credential headers to another host after an HTTP redirectEPSS 0.5%CVE-2026-107399MEDIUMMechanize sends credential headers to another origin after a meta refreshEPSS 0.4%CVE-2026-107714MEDIUMMechanize sends credential headers to a different scheme or port after a redirectEPSS 0.2%