Faraday - это уровень абстракции библиотеки HTTP-клиентов, который обеспечивает общий интерфейс для многих адаптеров. До 2.14.1 метод build…

Faraday - это уровень абстракции библиотеки HTTP-клиентов, который обеспечивает общий интерфейс для многих адаптеров. До 2.14.1 метод build_exclusive_url от Faraday (в lib/faraday/connection.rb) использует URI#merge Руби, чтобы объединить базовый URL-адрес соединения с поставляемым пользователем путем. Согласно RFC 3986, протокол-относительные URL-адреса (например, //evil.com/path) рассматриваются как ссылки на сетевой путь, которые переопределяют компонент хостинг/авторитет базового URL-адреса. Это означает, что если какое-либо приложение пропускает контролируемый пользователем ввод в Faraday's get(), post(), build_url() или другие методы запроса, злоумышленник может предоставить протокол-относительный URL, такой как //attacker.com/endpoint, чтобы перенаправить запрос на произвольный хост, что позволяет подделке запроса на серверную сторону (SSRF). Эта уязвимость зафиксирована в пункте 2.14.1.