URI Credential Leakage Bypass over CVE-2025-27221 · CVE-2025-61594

漏洞详情

受影响的包

• bundler
• uri (RubyGems)

受影响版本

• < 0.12.5
• >= 0.13.0, < 0.13.3
• >= 1.0.0, < 1.0.4

已修复版本

• 0.12.5
• 0.13.3
• 1.0.4

描述

影响 在受影响的URI版本中，存在对CVE-2025-27221修复方案的绕过，可能导致用户凭证泄露。当使用+运算符组合URI时，原始URI中的敏感信息（如密码）可能会被泄露，这违反了RFC3986规范，并使应用程序面临凭证暴露的风险。

该漏洞影响到以下Ruby系列捆绑的uri gem：

• 0.12.4及更早版本（捆绑在Ruby 3.2系列中）
• 0.13.2及更早版本（捆绑在Ruby 3.3系列中）
• 1.0.3及更早版本（捆绑在Ruby 3.4系列中）

补丁 升级到0.12.5、0.13.3或1.0.4版本。

参考链接

• https://www.ruby-lang.org/en/news/2025/02/26/security-advisories/
• https://hackerone.com/reports/2957667
• ruby/uri@20157e3
• ruby/uri@7e521b2
• ruby/uri@d3116ca
• https://github.com/rubysec/ruby-advisory-db/blob/master/gems/uri/CVE-2025-61594.yml
• https://www.ruby-lang.org/en/news/2025/10/07/uri-cve-2025-61594

严重程度 低 CVSS整体评分：2.7 / 10

CVSS v4 基础指标 可利用性指标

• 攻击向量：网络
• 攻击复杂度：低
• 攻击要求：无
• 所需权限：无
• 用户交互：无

脆弱系统影响指标

• 机密性：低
• 完整性：无
• 可用性：无

后续系统影响指标

• 机密性：无
• 完整性：无
• 可用性：无

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:U

EPSS 分数 0.073%（第23百分位数）

弱点

• CWE-212：在存储或传输前未正确移除敏感信息
• 产品存储、传输或共享包含敏感信息的资源，但在使资源对未经授权的参与者可用之前，未正确移除该信息。

CVE ID CVE-2025-61594

GHSA ID GHSA-j4pr-3wm6-xx2r

源代码 ruby/uri

发布日期 2025年12月30日 至 GitHub Advisory Database 审核日期 2025年12月30日 最后更新 2025年12月30日