CVE-2026-111756

follow-redirects to opakowanie klienta HTTP i HTTPS Node.js, które automatycznie podąża za przekierowaniami. Od wersji 1.16.0 do wersji wcześniejszej niż 1.16.1, follow-redirects usuwa wrażliwe nagłówki poświadczeń (autoryzacja, autoryzacja proxy, plik cookie i wszelkie wrażliwe nagłówki zadeklarowane przez dzwoniącego) przed wykonaniem przekierowania, które przechodzi do innego hosta lub obniża wersję do mniej bezpiecznego protokołu. Procedura usuwania iteruje kontener nagłówków osoby wywołującej za pomocą for...in i dopasowuje nazwy nagłówków do filtra. Zakłada się, że kontener nagłówków jest zwykłym obiektem oznaczonym nazwami nagłówków. Podstawowy http.request węzła, którego zamiennikiem jest follow-redirects, akceptuje także nagłówki jako zmienną tablicę nazw i wartości. W przypadku tablicy for...in zwraca indeksy numeryczne „0”, „1”, „2” itd., które nigdy nie pasują do filtra nazwy nagłówka, więc nic nie jest usuwane. Aplikacja wysyłająca nagłówki w formie tablicy i podążająca za kontrolowanym przez osobę atakującą przekierowaniem między źródłami przekazuje zatem swoje nagłówki Authorization, Cookie i Proxy-Authorization dosłownie do miejsca docelowego kontrolowanego przez osobę atakującą, bez błędów i ostrzeżeń. Opcja SensitiveHeaders dodana do poprawki CVE-2026-40895 / GHSA-r4q5-vmmm-2653 jest równie nieskuteczna, ponieważ opiera się na tym samym pomocniku. Jest to luka w zabezpieczeniach związana z nieuwierzytelnioną poufnością: każdy zdalny serwer, z którym aplikacja ofiary się kontaktuje, może zebrać nagłówki danych uwierzytelniających ofiary, odpowiadając przekierowaniem między źródłami. Ten problem został naprawiony w wersji 1.16.1.