CVE-2023-45143

Versões do Undici anteriores à 5.26.2

O problema está relacionado ao tratamento de cabeçalhos no cliente HTTP/1.1 do Undici para Node.js. Especificamente, antes da versão 5.26.2, o Undici limpava os cabeçalhos de autorização em redirecionamentos entre origens, mas não limpava os cabeçalhos cookie. Por padrão, os cabeçalhos cookie são cabeçalhos de solicitação proibidos, o que pode levar ao vazamento acidental de cookies para um site de terceiros ou permitir que um invasor mal-intencionado vaze cookies se conseguir controlar o destino do redirecionamento.

Para versões anteriores à 5.26.2, atualize para a versão 5.26.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a cabeçalhos cookie confidenciais até que a atualização possa ser aplicada.