CVE-2026-44979

ŚrednieCVSS 6.3

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

@hapi/wreck przed wersją 18.1.1 podczas przekierowania 3xx do innego hosta usuwa tylko nagłówki Authorization i Cookie, ale pozostawia nagłówek Proxy-Authorization. Może to ujawnić poświadczenia proxy do zewnętrznego hosta, jeśli przekierowania są włączone.

Ocena ryzyka

Atakujący kontrolujący docelowy serwer przekierowania może przechwycić poświadczenia proxy, co umożliwia podszywanie się pod klienta i dostęp do wewnętrznych zasobów.

Rekomendacja

Zaktualizuj @hapi/wreck do wersji 18.1.1. Rozważ wyłączenie automatycznych przekierowań, jeśli nie są wymagane.

Inne podatności w @hapi/wreck

CVE-2026-48022Średnie
Klient HTTP @hapi/wreck przed wersją 18.1.2 zawiera podatność polegającą na nieprawidłowym porównaniu pochodzenia podczas przekierowań między domenami. Nagłówki uwierzytelniające (Authorization, Cookie, Proxy-Authorization) są przesyłane do różnych portów lub przy zmianie protokołu (HTTPS->HTTP), co pozwala atakującym na przechwycenie tokenów i sesji.

Oryginalny opis (angielski, źródło NVD)

@hapi/wreck is an HTTP client utility. Prior to 18.1.1, when @hapi/wreck follows a 3xx redirect to a different hostname, only the Authorization and Cookie headers are stripped, and the standard credential header Proxy-Authorization is forwarded intact to the redirect target, potentially exposing forward-proxy credentials to a host outside the original trust boundary when redirects are enabled through the redirects option or Wreck.defaults({ redirects: ... }). This issue is fixed in version 18.1.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS