CVE-2026-102944

cpp-httplib C++ dilində yazılmış header-only HTTP/HTTPS kitabxanasıdır. 0.51.0 versiyasından əvvəl, create_redirect_client() funksiyası çarpaz mənşəli (cross-origin) 301, 302, 307 və ya 308 yönləndirmələrini izləyərkən Host, Proxy-Authorization və Authorization başlıqlarını silir, lakin Cookie başlıqlarını saxlayır. detail::redirect() bu yönləndirmə kodları üçün sorğunu kopyalayır, buna görə də birbaşa və ya default_headers_ vasitəsilə təmin edilən kukilər yönləndirmə hədəfinə göndərilir. Yönləndirmə cavabını idarə edən və ya HTTPS olmayan mənşə üçün şəbəkə mövqeyinə malik olan hücumçu, orijinal mənşə üçün nəzərdə tutulmuş sessiya kukilərini əldə edə bilər. 303 yönləndirməsi buna təsir etmir, çünki həmin yol bütün sorğu başlıqlarını təmizləyir. Bu problem 0.51.0 versiyasında düzəldilmişdir.