CVE-2025-61594: Rò rỉ thông tin xác thực URI vượt qua các bản sửa trước đó

Đăng bởi hsbt vào 7 Oct 2025
Dịch bởi Ngọc Lê

Chúng tôi đã công bố khuyến cáo bảo mật cho CVE-2025-61594.

CVE-2025-61594: Rò rỉ thông tin xác thực URI vượt qua CVE-2025-27221

Trong phiên bản URI bị ảnh hưởng, tồn tại một cách vượt qua bản sửa cho CVE-2025-27221 có thể lộ thông tin xác thực người dùng.

Lỗ hổng này đã được gán mã định danh CVE CVE-2025-61594. Chúng tôi khuyến nghị nâng cấp gem uri.

Chi tiết

Khi sử dụng toán tử + để kết hợp các URI, thông tin nhạy cảm như mật khẩu từ URI gốc có thể bị rò rỉ, vi phạm RFC3986 và khiến ứng dụng dễ bị lộ thông tin xác thực.

Vui lòng cập nhật gem URI lên phiên bản 0.12.5, 0.13.3, 1.0.4 hoặc mới hơn.

Phiên bản bị ảnh hưởng

• Gem uri phiên bản < 0.12.5, 0.13.0 đến 0.13.2 và 1.0.0 đến 1.0.3.

Ghi nhận

Cảm ơn junfuchong (chongfujun) đã phát hiện vấn đề này. Cũng cảm ơn nobu đã sửa thêm cho lỗ hổng này.

Lịch sử

• Công bố lần đầu vào 2025-10-07 0:00:00 (UTC)