GHSA-r4q5-vmmm-2653
ŚrednieStreszczenie
Podatność dotyczy sytuacji, w której żądanie HTTP podąża za przekierowaniem międzydomenowym (301/302/307/308). W przypadku użycia `follow-redirects`, jedynie nagłówki `authorization`, `proxy-authorization` i `cookie` są usuwane, co może prowadzić do ujawnienia niestandardowych nagłówków uwierzytelniających.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp, ponieważ niestandardowe nagłówki uwierzytelniające mogą zostać przekazane podczas przekierowań, co stwarza ryzyko wycieku danych.
Rekomendacja
Zaleca się przegląd i modyfikację logiki obsługi nagłówków w aplikacjach korzystających z `follow-redirects`, aby zapewnić, że wszystkie nagłówki uwierzytelniające są odpowiednio usuwane podczas przekierowań.
Oryginalny opis (angielski, źródło NVD)
## Summary When an HTTP request follows a cross-domain redirect (301/302/307/308), `follow-redirects` only strips `authorization`, `proxy-authorization`, and `cookie` headers (matched by regex at index.js:469-476). Any custom authentication header (e.g., `X-API-Key`, `X-Auth-Token`, `Api-Key`, `Tok