- Son 7 gün
- CWE-201
CVE-2026-116689
follow-redirects: Çapraz realm dizilerinde hassas başlıkların yönlendirmede sızması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, uygulamaların kimlik bilgilerinin istenmeyen bir üçüncü tarafa gönderilmesine yol açabilir. Saldırı için belirli koşulların gerçekleşmesi gerekir, bu nedenle risk orta düzeydedir. Yine de kullanılan sürümün hızlıca güncellenmesi önerilir.
ÖzetTürkçe
follow-redirects, Node.js için HTTP ve HTTPS isteklerini otomatik olarak yönlendirilen bir sarmalayıcıdır. 1.16.0 ile 1.16.2 öncesi sürümlerde sensitiveHeaders seçeneği, değeri farklı bir JavaScript realm'inde oluşturulmuş bir dizi olduğunda yanlış kontrol edilir ve liste boş kabul edilir. Bu nedenle kimlik bilgisi taşıyan özel başlıklar, saldırganın kontrolündeki farklı kökenli bir yönlendirmeye iletilebilir.
Saldırgan ne yapabilir?
Saldırgan, istemcinin gönderdiği özel kimlik bilgisi başlıklarını ele geçirebilir. Bu durum, hedef servisde yetkisiz erişime yol açabilir.
Kaynaktaki açıklama (İngilizce)
follow-redirects is a Node.js HTTP and HTTPS client wrapper that automatically follows redirects. From 1.16.0 until 1.16.2, the documented sensitiveHeaders option is checked with value instanceof Array, so an array created in another JavaScript realm is replaced with an empty list even though Array.isArray recognizes it. When a request then follows an attacker-controlled cross-origin redirect, a custom credential header named in that discarded list can be forwarded to the redirect destination. This issue is fixed in version 1.16.2.
Ne yapmalı?
- follow-redirects paketini 1.16.2 veya üzeri bir sürüme yükseltin. Genel öneri
- Uygulamanızın bağımlılıklarını yeniden kurun ve kullanılan sürümün güncellendiğini doğrulayın. Genel öneri
Ek önlemler
- Yönlendirme takip eden istemcilerde, kimlik bilgisi içeren başlıkların yalnızca güvendiğiniz kökenlere gönderildiğinden emin olun. Genel öneri
- Beklenmeyen çapraz kökenli yönlendirmeleri izlemek için uygulama ve ağ günlüklerini inceleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| follow-redirects | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.