PT-2026-40045
CVE-2026-8368
·
تاريخ النشر
2026-05-12
·
تاريخ التحديث
2026-08-15
الوصف من
CVSS 2.0
6.8
متوسطةالمقاييسAV:N/AC:L/Au:S/C:C/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات LWP::UserAgent الأقدم من 6.83
الوصف
يتسبب LWP::UserAgent في تسريب رؤوس «Authorization» و«Proxy-Authorization» أثناء عمليات إعادة التوجيه عبر الأصول. عند تلقي استجابة 3xx، يقوم معالج إعادة التوجيه بإزالة رؤوس «Host» و«Cookie» فقط قبل الطلب التالي. ونتيجة لذلك، يتم إرسال رؤوس «Authorization» و«Proxy-Authorization» التي يوفرها المتصل دون تغيير إلى هدف إعادة التوجيه، حتى في حالة تغيير المخطط أو المضيف أو المنفذ. وهذا يسمح بإعادة التوجيه إلى مضيف يتحكم فيه المهاجم للكشف عن بيانات اعتماد المتصل.
التوصيات
التحديث إلى الإصدار 6.83 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾