PT-2026-117538 · Npm · Follow-Redirects

CVE-2026-111755

·

Publicado

2026-10-19

·

Atualizado

2026-10-19

CVSS v4.0

8.2

Alta

VetorAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas follow-redirects versão 1.16.0
Description A função escapeRegex não escapa metacaracteres válidos de nomes de cabeçalho em sensitiveHeaders. Quando uma aplicação declara um cabeçalho sensível cujo nome contém ^ ou | e segue um redirecionamento cross-origin ou HTTPS-para-HTTP, os metacaracteres de expressão regular não escapados impedem que o filtro gerado corresponda ao nome do cabeçalho declarado, resultando no encaminhamento do cabeçalho de credenciais para um alvo de redirecionamento controlado por um invasor.
Recommendations Atualize o follow-redirects para a versão 1.16.1.

Exploit

Correção

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-200CWE-185

Identificadores relacionados

CVE-2026-111755
GHSA-8R9P-F939-6H3C

Produtos afetados

Follow-Redirects