CVE-2026-103030

Nome do Software Vulnerável e Versões Afetadas Dio versões 1.0.0 até 2.7.9

Descrição O dio http2 adapter segue redirecionamentos na função Http2Adapter. fetch() copiando os RequestOptions.headers originais para a requisição HTTP/2 redirecionada sem comparar as origens de origem e destino. Isso permite que um servidor retorne um redirecionamento de Localização cross-origin para um destino diferente, que então recebe cabeçalhos sensíveis como Authorization, Cookie e Proxy-Authorization, pois o RequestOptions.copyWith retém o mapa completo de cabeçalhos. O problema ocorre quando as aplicações utilizam Http2Adapter para requisições autenticadas e o seguimento de redirecionamentos está ativado por padrão.

Recomendações Atualizar para a versão 2.8.0.