PT-2026-54019

CVE-2026-54673

Publicado

2026-06-05

Atualizado

2026-07-24

Descrição por

CVSS 4.0

8.2

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas electron-updater versões anteriores a 9.7.0

Description O manipulador de redirecionamento HTTP HttpExecutor.prepareRedirectUrlOptions() remove apenas cabeçalhos de credenciais que correspondam exatamente à string em letras minúsculas "authorization". Consequentemente, outros cabeçalhos de credenciais, como PRIVATE-TOKEN ou cabeçalhos Authorization com letras maiúsculas e minúsculas, não são removidos e podem ser encaminhados para um destino de redirecionamento de origem cruzada controlado por um invasor, resultando na exposição de credenciais.

Recommendations Atualize para a versão 9.7.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Str1Ckl4Nd

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor

Identificadores relacionados