CVE-2026-111756
WysokieStreszczenie
Biblioteka follow-redirects usuwa wrażliwe nagłówki uwierzytelniające (Authorization, Proxy-Authorization, Cookie oraz nagłówki zadeklarowane przez wywołującego jako sensitiveHeaders) przed podążaniem za przekierowaniem na inny host lub po downgrade do mniej bezpiecznego protokołu. Opis wskazuje na problem w procedurze usuwania tych nagłówków, która iteruje po strukturze przekazanej przez wywołującego.
Ocena ryzyka
Nieprawidłowe działanie mechanizmu usuwania nagłówków może doprowadzić do wycieku poświadczeń (tokenów, ciasteczek sesyjnych) do innego hosta lub przez niezabezpieczony kanał. W efekcie możliwe jest przejęcie sesji lub nieautoryzowany dostęp do chronionych zasobów.
Rekomendacja
Zaktualizuj bibliotekę follow-redirects do wersji zawierającej poprawkę i zweryfikuj, czy aplikacja poprawnie deklaruje wrażliwe nagłówki. Rozważ ograniczenie automatycznego podążania za przekierowaniami do zaufanych hostów.
Inne podatności w follow-redirects
Zobacz wszystkie- CVE-2026-111755Wysokie
Biblioteka follow-redirects w wersjach od 1.16.0 do 1.16.1 nieprawidłowo escapuje metaznaki wyrażeń regularnych (^ lub |) w nazwach nagłówków wrażliwych. W wyniku tego, przy przekierowaniu cross-origin lub z HTTPS na HTTP, filtr nie dopasowuje zadeklarowanego nagłówka i nagłówek z poświadczeniami jest przekazywany do celu kontrolowanego przez atakującego. Problem naprawiono w wersji 1.16.1.
- CVE-2026-40895Wysokie
W bibliotece follow-redirects dla Node.js wykryto podatność polegającą na nieusuwaniu niestandardowych nagłówków autoryzacyjnych (np. X-API-Key, X-Auth-Token) podczas przekierowań między domenami. Atakujący może wykorzystać to do przechwycenia poufnych danych uwierzytelniających.
Oryginalny opis (angielski, źródło NVD)
### Summary follow-redirects removes sensitive credential headers (Authorization, Proxy-Authorization, Cookie, and any caller-declared `sensitiveHeaders`) before following a redirect that crosses to a different host or downgrades to a less secure protocol. The removal routine iterates the caller's h
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS