CVE-2026-54673
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 — wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece electron-updater przed wersją 9.7.0 umożliwia wyciek nagłówków uwierzytelniających podczas przekierowań HTTP. Mechanizm obsługi przekierowań usuwał jedynie nagłówek 'authorization' zapisany małymi literami, pomijając inne wrażliwe nagłówki, takie jak 'PRIVATE-TOKEN' czy 'Authorization' z mieszaną wielkością liter, co mogło prowadzić do ujawnienia danych uwierzytelniających.
Ocena ryzyka
Atakujący może przechwycić tokeny osobiste (np. GitLab PAT) lub tokeny Bearer/OAuth, przekierowując aplikację na kontrolowany przez siebie serwer, co grozi nieautoryzowanym dostępem do zasobów i naruszeniem poufności danych.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę electron-updater do wersji 9.7.0 lub nowszej, która usuwa wszystkie wrażliwe nagłówki uwierzytelniające podczas przekierowań.
Oryginalny opis (angielski, źródło NVD)
electron-updater allows for automatic updates for Electron apps. Prior to 9.7.0, the HTTP redirect handler (HttpExecutor.prepareRedirectUrlOptions) only stripped a credential header whose key string matched exactly lowercase "authorization", exposing credentials. Other credential-bearing headers — most notably PRIVATE-TOKEN (used by GitLab's personal access token flow) and mixed-case Authorization (used by GitLab's Bearer/OAuth flow) — were not stripped and could be forwarded to an attacker-controlled cross-origin redirect destination. This issue has been fixed in version 9.7.0.