CVE-2026-111755
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Biblioteka follow-redirects w wersjach od 1.16.0 do 1.16.1 nieprawidłowo escapuje metaznaki wyrażeń regularnych (^ lub |) w nazwach nagłówków wrażliwych. W wyniku tego, przy przekierowaniu cross-origin lub z HTTPS na HTTP, filtr nie dopasowuje zadeklarowanego nagłówka i nagłówek z poświadczeniami jest przekazywany do celu kontrolowanego przez atakującego. Problem naprawiono w wersji 1.16.1.
Ocena ryzyka
Może dojść do wycieku poufnych nagłówków (np. tokenów autoryzacyjnych) do nieznanego celu przekierowania, co umożliwia przejęcie sesji lub nieautoryzowany dostęp do chronionych zasobów.
Rekomendacja
Zaktualizuj bibliotekę follow-redirects do wersji 1.16.1 lub nowszej oraz przejrzyj aplikacje korzystające z tej biblioteki pod kątem przekierowań cross-origin.
Inne podatności w follow-redirects
Zobacz wszystkie- CVE-2026-116689Średnie
follow-redirects to wrapper klienta HTTP i HTTPS dla Node.js, który automatycznie podąża za przekierowaniami. Od wersji 1.16.0 do 1.16.2 udokumentowana opcja sensitiveHeaders jest sprawdzana za pomocą value instanceof Array, więc tablica utworzona w innym środowisku JavaScript jest zastępowana pustą listą, mimo że Array.isArray ją rozpoznaje. Gdy żądanie następnie podąża za przekierowaniem cross-origin kontrolowanym przez atakującego, niestandardowy nagłówek poświadczeń wymieniony na tej odrzuconej liście może zostać przesłany do miejsca docelowego przekierowania. Problem został naprawiony w wersji 1.16.2.
- CVE-2026-111756Wysokie
Podatność w bibliotece follow-redirects (wersje 1.16.0 do 1.16.1) polega na tym, że przy przekierowaniu na inny host lub na mniej bezpieczny protokół nagłówki uwierzytelniające (Authorization, Proxy-Authorization, Cookie, sensitiveHeaders) nie są usuwane, jeśli aplikacja przekazała je w formie tablicy naprzemiennych nazw i wartości. Mechanizm filtrowania używa pętli for...in, która dla tablicy zwraca indeksy liczbowe, przez co żaden nagłówek nie zostaje dopasowany ani usunięty. W efekcie aplikacja wysyła poświadczenia do celu kontrolowanego przez atakującego bez ostrzeżenia.
- CVE-2026-40895Wysokie
W bibliotece follow-redirects dla Node.js wykryto podatność polegającą na nieusuwaniu niestandardowych nagłówków autoryzacyjnych (np. X-API-Key, X-Auth-Token) podczas przekierowań między domenami. Atakujący może wykorzystać to do przechwycenia poufnych danych uwierzytelniających.
Oryginalny opis (angielski, źródło NVD)
follow-redirects is a Node.js HTTP and HTTPS client wrapper that automatically follows redirects. From 1.16.0 until 1.16.1, escapeRegex leaves valid header-name metacharacters unescaped in sensitiveHeaders. When an application declares a sensitive header whose name contains ^ or | and follows a cross-origin or HTTPS-to-HTTP redirect, unescaped regular-expression metacharacters prevent the generated filter from matching the declared header name, and the credential header is forwarded to an attacker-controlled redirect target. This issue is fixed in version 1.16.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS