CVE-2026-120415

اسم البرنامج المصاب والإصدارات المتأثرة undici الإصدارات من 7.0.0 إلى 7.30.1 undici الإصدارات من 8.0.0 إلى 8.12.3

Description يفشل اعتراض إعادة التوجيه في إزالة الرؤوس الحساسة—بما في ذلك Authorization و Cookie و Proxy-Authorization و Host—عندما يتم إعادة توجيه الطلب إلى أصل مختلف إذا تم تقديم رؤوس الطلب كمصفوفة من توابل الاسم والقيمة. في هذا السيناريو، يسيء معالج إعادة التوجيه تفسير التوابل على أنها قائمة مسطحة، مما يمنع تطابق أسماء الرؤوس ويسمح ببقاء الرؤوس الحساسة. إذا تم تركيب معترض لتطبيع الرؤوس، مثل cache أو deduplicate، خارج معترض إعادة التوجيه، يتم حينئذٍ تسلسل هذه الرؤوس المحتفظ بها في طلب الأصل المتقاطع، مما قد يؤدي إلى كشف بيانات اعتماد الأصل لجهة وجهة إعادة توجيه غير ذات صلة.

Recommendations التحديث إلى الإصدار 7.30.2 أو أحدث. التحديث إلى الإصدار 8.12.4 أو أحدث. تقديم رؤوس الطلب ككائن بسيط أو مصفوفة مسطحة من الاسم والقيمة بدلاً من مصفوفة من التوابل. تركيب معترض إعادة التوجيه خارج معترض التطبيع.