CVE-2026-120415

Nome do Software Vulnerável e Versões Afetadas undici versões 7.0.0 a 7.30.1 undici versões 8.0.0 a 8.12.3

Description O interceptor de redirecionamento falha ao remover cabeçalhos sensíveis—incluindo Authorization, Cookie, Proxy-Authorization e Host—quando uma requisição é redirecionada para uma origem diferente, caso os cabeçalhos da requisição sejam fornecidos como um array de tuplas de nome e valor. Nesse cenário, o manipulador de redirecionamento interpreta erroneamente as tuplas como uma lista plana, impedindo que os nomes dos cabeçalhos coincidam e permitindo que os cabeçalhos sensíveis permaneçam. Se um interceptor de normalização de cabeçalhos, como cache ou deduplicate, for composto fora do interceptor de redirecionamento, esses cabeçalhos retidos são serializados na requisição de origem cruzada, podendo expor credenciais vinculadas à origem para um destino não relacionado.

Recommendations Atualizar para a versão 7.30.2 ou posterior. Atualizar para a versão 8.12.4 ou posterior. Fornecer os cabeçalhos da requisição como um objeto simples ou um array plano de nome e valor, em vez de um array de tuplas. Compor o interceptor de redirecionamento fora do interceptor de normalização.