CVE-2026-48595

Nome do Software Vulnerável e Versões Afetadas tesla versões 1.4.0 até 1.18.2

Description O manuseio inadequado da distinção entre maiúsculas e minúsculas em Tesla.Middleware.FollowRedirects permite o vazamento de credenciais para origens de terceiros em redirecionamentos de origem cruzada. O middleware tenta remover cabeçalhos sensíveis comparando-os com uma lista de filtros em letras minúsculas contendo authorization e host. No entanto, como o Tesla preserva as chaves dos cabeçalhos exatamente como fornecidas pelo chamador, sem normalização, cabeçalhos que utilizam a capitalização canônica, como Authorization, não coincidem com o filtro em minúsculas e são encaminhados para o destino do redirecionamento. Um atacante que possa controlar a resposta Location: — por meio de seu próprio endpoint, um upstream de redirecionamento aberto ou uma origem comprometida — pode capturar tokens de portador ou outros materiais de autorização. Isso ocorre quando a aplicação utiliza Tesla.Middleware.FollowRedirects e define cabeçalhos com chaves que não estejam em letras minúsculas.

Recommendations Atualize o tesla para a versão 1.18.3. Como solução temporária, normalize todas as chaves de cabeçalho para letras minúsculas antes de passá-las ao Tesla, especificamente utilizando authorization em vez de Authorization ao definir cabeçalhos via Tesla.put header/3 ou Tesla.Middleware.Headers.