5.9
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
follow-redirects is a Node.js HTTP and HTTPS client wrapper that automatically follows redirects. From 1.16.0 until 1.16.2, the documented sensitiveHeaders option is checked with value instanceof Array, so an array created in another JavaScript realm is replaced with an empty list even though Array.isArray recognizes it. When a request then follows an attacker-controlled cross-origin redirect, a custom credential header named in that discarded list can be forwarded to the redirect destination. This issue is fixed in version 1.16.2.
Засегнати продукти
- follow-redirects follow-redirects: >= 1.16.0, < 1.16.2
Вид слабост
История
- 27 октомври 2026 Публикувано
Други уязвимости в follow-redirects follow-redirects
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-116689
- https://nvd.nist.gov/vuln/detail/CVE-2026-116689
- https://github.com/follow-redirects/follow-redirects/security/advisories/GHSA-mrwp-f3q8-3g9p
- https://github.com/follow-redirects/follow-redirects/commit/b0a7751e9cd64cd8eeb6ec67d2f206a9cc88d3f8
- https://github.com/follow-redirects/follow-redirects/releases/tag/v1.16.2