CVE-2026-7017

WysokieCVSS 7.1

Opublikowano: 07/07/2026(UTC)Zaktualizowano: 08/07/2026(UTC)Przetłumaczono: 09/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece HTTP::Tiny dla Perla przed wersją 0.095 powoduje, że nagłówki uwierzytelniające (Authorization, Cookie, Proxy-Authorization) są przekazywane do przekierowań między różnymi źródłami. Mechanizm przekierowań nie weryfikuje, czy cel przekierowania należy do tego samego źródła co oryginalny URL, co umożliwia wyciek wrażliwych danych.

Ocena ryzyka

Organizacja ryzykuje ujawnienie poufnych danych uwierzytelniających (np. tokenów sesji, haseł) osobom trzecim, w tym na niezaszyfrowanych połączeniach HTTP, co może prowadzić do przejęcia kont lub ataków typu man-in-the-middle.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę HTTP::Tiny do wersji 0.095 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy unikać przekazywania nagłówków uwierzytelniających w wywołaniach HTTP::Tiny lub ręcznie kontrolować przekierowania.

Inne podatności w HTTP::Tiny

CVE-2026-7010Średnie
Wersje HTTP::Tiny przed 0.093 dla Perla nie walidują CRLF w liniach żądań HTTP ani wartości nagłówków pól kontrolnych. Niezwalidowane dane wejściowe obejmują metodę i URI w linii żądania oraz host URL, który staje się nagłówkiem `Host:`.

Oryginalny opis (angielski, źródło NVD)

HTTP::Tiny versions before 0.095 for Perl forward credential headers to cross-origin redirect targets. When the server returns a 3xx redirect, `_maybe_redirect` follows the `Location:` header and `_prepare_headers_and_cb` re-merges the caller's `headers` argument into the new request, without checking whether the redirect target shares an origin with the original URL. Caller-supplied `Authorization`, `Cookie` and `Proxy-Authorization` headers are therefore re-sent to whatever host the redirect names, across scheme, host or port boundaries, and including `https` to `http` downgrades that expose them in plaintext on the wire. The HTTP::Tiny POD note that "Authorization headers will not be included in a redirected request" applied only to the URL-userinfo Basic-auth path, not to headers passed explicitly by the caller.