Command Injection Vulnerability in Mechanize

Mechanize, una biblioteca Ruby para automatización web, tiene una vulnerabilidad donde atacantes pueden ejecutar comandos del sistema si se usan nombres de archivo no confiables en ciertas funciones de guardado de archivos. El problema ocurre porque la biblioteca no valida adecuadamente las rutas de archivo antes de abrirlas.

Vulnerabilidad de inyección de comando (CWE-78) en Mechanize versiones 2.0.0–2.7.6 explotable mediante el manejo inadecuado de rutas de archivo en llamadas Kernel.open a través de los métodos CookieJar#load, CookieJar#save_as, download, Download#save, File#save y FileResponse#read_body. Vector de ataque requiere entrada de nombre de archivo controlada por el atacante; el impacto incluye ejecución arbitraria de comandos del SO con privilegios de la aplicación.