GHSA-r4q5-vmmm-2653
MediumSummary
Podatność dotyczy sytuacji, w której żądanie HTTP podąża za przekierowaniem międzydomenowym (301/302/307/308). W przypadku użycia `follow-redirects`, jedynie nagłówki `authorization`, `proxy-authorization` i `cookie` są usuwane, co może prowadzić do ujawnienia niestandardowych nagłówków uwierzytelniających.
Risk Assessment
Organizacje mogą być narażone na nieautoryzowany dostęp, ponieważ niestandardowe nagłówki uwierzytelniające mogą zostać przekazane podczas przekierowań, co stwarza ryzyko wycieku danych.
Recommendation
Zaleca się przegląd i modyfikację logiki obsługi nagłówków w aplikacjach korzystających z `follow-redirects`, aby zapewnić, że wszystkie nagłówki uwierzytelniające są odpowiednio usuwane podczas przekierowań.
Original NVD description (English source)
## Summary When an HTTP request follows a cross-domain redirect (301/302/307/308), `follow-redirects` only strips `authorization`, `proxy-authorization`, and `cookie` headers (matched by regex at index.js:469-476). Any custom authentication header (e.g., `X-API-Key`, `X-Auth-Token`, `Api-Key`, `Tok