CVE-2026-105221
Beschrijving NL
De gist RubyGem voor 6.1.0 bevat een onjuist beveiligingslek voor certificaatvalidatie waarmee aanvallers op het pad HTTPS-verkeer kunnen onderscheppen omdat http_connection in lib/gist.rb VERIFY_NONE instelt. Aanvallers kunnen elk certificaat presenteren om GitHub API-verkeer te lezen of te wijzigen, waarbij OAuth-tokens en inloggegevens worden gestolen om de gists van het slachtoffer te lezen en te wijzigen.
Origineel (Engels) tonen
The gist RubyGem before 6.1.0 contains an improper certificate validation vulnerability that allows on-path attackers to intercept HTTPS traffic because http_connection in lib/gist.rb sets VERIFY_NONE. Attackers can present any certificate to read or modify GitHub API traffic, stealing OAuth tokens and login credentials to read and modify the victim's gists.