CVE-2026-40895
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W bibliotece follow-redirects dla Node.js wykryto podatność polegającą na nieusuwaniu niestandardowych nagłówków autoryzacyjnych (np. X-API-Key, X-Auth-Token) podczas przekierowań między domenami. Atakujący może wykorzystać to do przechwycenia poufnych danych uwierzytelniających.
Ocena ryzyka
Organizacja narażona jest na wyciek kluczy API i tokenów autoryzacyjnych do zewnętrznych, potencjalnie złośliwych serwerów podczas obsługi przekierowań HTTP.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę follow-redirects do wersji 1.16.0 lub nowszej, która usuwa tę podatność.
Inne podatności w follow-redirects
Zobacz wszystkie- CVE-2026-116689Średnie
follow-redirects to wrapper klienta HTTP i HTTPS dla Node.js, który automatycznie podąża za przekierowaniami. Od wersji 1.16.0 do 1.16.2 udokumentowana opcja sensitiveHeaders jest sprawdzana za pomocą value instanceof Array, więc tablica utworzona w innym środowisku JavaScript jest zastępowana pustą listą, mimo że Array.isArray ją rozpoznaje. Gdy żądanie następnie podąża za przekierowaniem cross-origin kontrolowanym przez atakującego, niestandardowy nagłówek poświadczeń wymieniony na tej odrzuconej liście może zostać przesłany do miejsca docelowego przekierowania. Problem został naprawiony w wersji 1.16.2.
- CVE-2026-111756Wysokie
Podatność w bibliotece follow-redirects (wersje 1.16.0 do 1.16.1) polega na tym, że przy przekierowaniu na inny host lub na mniej bezpieczny protokół nagłówki uwierzytelniające (Authorization, Proxy-Authorization, Cookie, sensitiveHeaders) nie są usuwane, jeśli aplikacja przekazała je w formie tablicy naprzemiennych nazw i wartości. Mechanizm filtrowania używa pętli for...in, która dla tablicy zwraca indeksy liczbowe, przez co żaden nagłówek nie zostaje dopasowany ani usunięty. W efekcie aplikacja wysyła poświadczenia do celu kontrolowanego przez atakującego bez ostrzeżenia.
- CVE-2026-111755Wysokie
Biblioteka follow-redirects w wersjach od 1.16.0 do 1.16.1 nieprawidłowo escapuje metaznaki wyrażeń regularnych (^ lub |) w nazwach nagłówków wrażliwych. W wyniku tego, przy przekierowaniu cross-origin lub z HTTPS na HTTP, filtr nie dopasowuje zadeklarowanego nagłówka i nagłówek z poświadczeniami jest przekazywany do celu kontrolowanego przez atakującego. Problem naprawiono w wersji 1.16.1.
Oryginalny opis (angielski, źródło NVD)
follow-redirects is an open source, drop-in replacement for Node's `http` and `https` modules that automatically follows redirects. Prior to 1.16.0, when an HTTP request follows a cross-domain redirect (301/302/307/308), follow-redirects only strips authorization, proxy-authorization, and cookie headers (matched by regex at index.js). Any custom authentication header (e.g., X-API-Key, X-Auth-Token, Api-Key, Token) is forwarded verbatim to the redirect target. This vulnerability is fixed in 1.16.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS