Command Injection Vulnerability in Mechanize

A biblioteca Mechanize, usada para automação web em Ruby, possui uma vulnerabilidade que permite executar comandos do sistema operacional se nomes de arquivo não confiáveis forem usados em certas funções. O problema é que a biblioteca não valida adequadamente os caminhos de arquivo antes de abri-los.

Vulnerabilidade de injeção de comando (CWE-78) na Mechanize versões 2.0.0–2.7.6 explorável através do tratamento inadequado de caminhos de arquivo em chamadas Kernel.open nos métodos CookieJar#load, CookieJar#save_as, download, Download#save, File#save e FileResponse#read_body. Vetor de ataque requer entrada de nome de arquivo controlada pelo atacante; impacto inclui execução arbitrária de comando do SO com privilégios da aplicação.