CVE-2026-105221: fallo crítico en defunkt gist
Gist RubyGem before 6.1.0 Disabled TLS Certificate Verification
Publicada el · Actualizada el
48Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 9.1epss 0.2%
de la publicación al arma2 días
Publicada en NVD4 oct
1ª PoC+2d
probabilidad de explotación
0.2%top 93% de las CVE
explotación observada
noninguna fuente lo reporta
1 exploit(s) público(s)
The gist RubyGem before 6.1.0 contains an improper certificate validation vulnerability that allows on-path attackers to intercept HTTPS traffic because http_connection in lib/gist.rb sets VERIFY_NONE. Attackers can present any certificate to read or modify GitHub API traffic, stealing OAuth tokens and login credentials to read and modify the victim's gists.
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Productos afectados
defunkt · gistPoCs públicas encontradas — 1
githubgithub.com/abraxas/cve-2026-105221-gist-tls★ 0⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
Referencias
https://github.com/defunkt/gisthttps://github.com/defunkt/gist/blob/v6.0.0/lib/gist.rb#L466-L468https://github.com/defunkt/gist/commit/07ccc1a6d46e9d36f0e85d0b1c5d795890ae6bcfhttps://github.com/defunkt/gist/issues/373https://www.vulncheck.com/advisories/gist-rubygem-before-6.1.0-disabled-tls-certificate-verification