PT-2026-43631
CVE-2026-44979
·
تاريخ النشر
2026-05-27
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @hapi/wreck الأقدم من 18.1.1
الوصف
عند اتباع إعادة توجيه 3xx إلى اسم مضيف مختلف، تقوم الأداة بإزالة رؤوس
Authorization وCookie فقط. يتم إعادة توجيه رأس بيانات الاعتماد Proxy-Authorization دون تغيير إلى هدف إعادة التوجيه، مما قد يؤدي إلى كشف بيانات اعتماد الوكيل الأمامي لمضيف خارج حدود الثقة الأصلية. يحدث هذا عند تمكين عمليات إعادة التوجيه عبر الخيار redirects أو من خلال Wreck.defaults({ redirects: ... }).التوصيات
قم بالتحديث إلى الإصدار 18.1.1 أو أحدث.
اترك الخيار
redirects على قيمته الافتراضية false.اضبط
redirects على 0 عند استدعاء نقاط النهاية ذات الرؤوس الحساسة.أزل
Proxy-Authorization من الرؤوس قبل إرسال الطلب.استخدم الخطاف
beforeRedirect لإزالة Proxy-Authorization والرؤوس الحساسة الأخرى يدويًّا عندما يختلف اسم المضيف الهدف عن الطلب الأصلي. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾