httparty Possui Potencial Vulnerabilidade SSRF que Leva ao Vazamento de Chaves de API

A exploração bem-sucedida da vulnerabilidade SSRF em httparty pode ter consequências graves. Um atacante pode usar essa falha para vazar chaves de API armazenadas na aplicação, obtendo acesso não autorizado a serviços e dados protegidos. Além disso, o atacante pode induzir o servidor a fazer requisições para servidores internos que não deveriam ser acessíveis externamente, permitindo a exploração de outras vulnerabilidades ou o roubo de informações confidenciais. A falta de validação adequada do argumento path permite que um atacante controle o destino das requisições, ignorando a configuração base_uri e abrindo caminho para ataques direcionados a recursos internos.

Applications utilizing the httparty Ruby gem in versions 0.9.0 and earlier are at risk. This includes web applications, APIs, and any other Ruby projects that rely on httparty for making HTTP requests. Shared hosting environments where multiple applications share the same Ruby environment are particularly vulnerable, as a compromise of one application could potentially expose the entire environment.

• ruby / server:

  grep -r 'require \'httparty\' ' /path/to/your/ruby/projects

• ruby / supply-chain:

  gem list httparty

• generic web:

  curl -I <your_application_url>/<potentially_vulnerable_endpoint>
  # Check for unexpected internal hostnames in the response headers

1. 2025-12-23Disclosure

   disclosure

1. Reservado2025-12-23
2. Publicada2025-12-23
3. Modificada2026-04-10
4. EPSS atualizado2026-03-23

A mitigação primária para a vulnerabilidade CVE-2025-68696 é a atualização para a versão 0.24.0 do httparty ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere implementar medidas de segurança adicionais, como a validação rigorosa de todas as entradas de URL, a restrição do acesso a recursos internos e a implementação de um Web Application Firewall (WAF) para bloquear requisições maliciosas. Monitore logs de acesso e erro em busca de padrões suspeitos de requisições para recursos internos não autorizados.