- CWE-200
- CWE-212
CVE-2026-111756
follow-redirects'te dizi biçimli başlıklar nedeniyle yönlendirme sırasında kimlik bilgisi başlıklarının sızması
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
follow-redirects, yönlendirmeleri otomatik olarak takip eden bir Node.js HTTP ve HTTPS istemci sarmalayıcısıdır. 1.16.0 sürümünden 1.16.1 sürümünden önceki sürümlere kadar, follow-redirects farklı bir ana makineye yönlendiren veya daha az güvenli bir protokole geçen bir yönlendirmeyi takip etmeden önce hassas kimlik bilgisi başlıklarını (Authorization, Proxy-Authorization, Cookie ve çağıran tarafından tanımlanan sensitiveHeaders) kaldırır. Kaldırma rutini, çağıranın başlık kapsayıcısını for...in ile dolaşır ve başlık adlarını bir filtreyle eşleştirir. Bu yaklaşım, başlık kapsayıcısının başlık adlarıyla anahtarlanmış düz bir nesne olduğunu varsayar. Oysa follow-redirects'in yerine geçtiği Node'un temel http.request fonksiyonu, başlıkları ad ve değerlerin dönüşümlü olduğu bir dizi olarak da kabul eder. Bir dizi için for...in "0", "1", "2" gibi sayısal indisleri üretir; bunlar hiçbir zaman başlık adı filtresiyle eşleşmez ve dolayısıyla hiçbir başlık kaldırılmaz. Dizi biçimli başlıklar gönderen ve saldırganın kontrolündeki farklı kaynaklı bir yönlendirmeyi takip eden bir uygulama, Authorization, Cookie ve Proxy-Authorization başlıklarını hiçbir hata veya uyarı olmadan olduğu gibi saldırganın kontrolündeki hedefe iletir. CVE-2026-40895 / GHSA-r4q5-vmmm-2653 numaralı sorunu düzeltmek için eklenen sensitiveHeaders seçeneği de aynı yardımcı fonksiyona dayandığı için etkisizdir. Bu, kimlik doğrulaması gerektirmeyen bir gizlilik açığıdır: kurbanın uygulamasının iletişim kurduğu herhangi bir uzak sunucu, farklı kaynaklı bir yönlendirme yanıtı vererek kurbanın kimlik bilgisi başlıklarını ele geçirebilir. Bu sorun follow-redirects 1.16.1 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
follow-redirects is a Node.js HTTP and HTTPS client wrapper that automatically follows redirects. From version 1.16.0 to before version 1.16.1, follow-redirects removes sensitive credential headers (Authorization, Proxy-Authorization, Cookie, and any caller-declared sensitiveHeaders) before following a redirect that crosses to a different host or downgrades to a less secure protocol. The removal routine iterates the caller's headers container with for...in and matches header names against a filter. This assumes the headers container is a plain object keyed by header names. Node's underlying http.request, which follow-redirects is a drop-in replacement for, also accepts headers as an alternating array of names and values. For an array, for...in yields the numeric indices "0", "1", "2" and so on, which never match a header-name filter, so nothing is removed. An application that sends array-form headers and follows an attacker-controlled cross-origin redirect therefore forwards its Authorization, Cookie, and Proxy-Authorization headers verbatim to the attacker-controlled destination, with no error or warning. The sensitiveHeaders option added to fix CVE-2026-40895 / GHSA-r4q5-vmmm-2653 is equally ineffective, because it relies on the same helper. This is an unauthenticated confidentiality vulnerability: any remote server the victim application contacts can harvest the victim's credential headers by responding with a cross-origin redirect. This issue has been patched in version 1.16.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| follow-redirects | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.