PT-2024-2954
CVE-2024-30260
·
Publicado
2024-04-04
·
Atualizado
2026-08-25
Descrição por
CVSS 2.0
4.6
MédiaMétricasAV:N/AC:H/Au:S/C:P/I:P/A:P
Nome do software vulnerável e versões afetadas
Versões do Undici anteriores à 5.28.4
Versões do Undici anteriores à 6.11.1
Descrição
O problema está relacionado ao cliente Undici HTTP/1.1 para Node.js, que apresenta uma falha no procedimento de autorização. Especificamente, o Undici limpa os cabeçalhos Authorization e Proxy-Authorization para
fetch(), mas não o faz para undici.request(). Isso poderia permitir que um invasor remoto executasse código arbitrário.Recomendações
Para versões anteriores à 5.28.4, atualize para a versão 5.28.4 ou posterior.
Para versões anteriores à 6.11.1, atualize para a versão 6.11.1 ou posterior.
Como solução temporária, considere usar
fetch() em vez de undici.request().Como alternativa, desative
maxRedirections para minimizar o risco de exploração.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾