CVE-2026-48022

@hapi/wreck HTTP müştəri utilitidir. 18.1.2 versiyasından əvvəl Wreck, mənşələrarası yönləndirməni izləməzdən əvvəl Authorization, Cookie və Proxy-Authorization daxil olmaqla etimadnamə başlıqlarını silir, lakin mənşə yoxlaması yalnız host adlarını müqayisə edir və sxem və portu nəzərə almır, buna görə etimadnamələr eyni hostda port dəyişiklikləri və HTTPS-dən HTTP-yə endirmələr arasında toxunulmaz şəkildə ötürülür, bu da qonşu portda olan birgə kirayəçiyə və ya yönləndirməni saxtalaşdırmağa qadir olan şəbəkə mövqeyindəki hücumçuya bearer tokenləri, sessiya kukilərini və proksi etimadnamələrini ələ keçirməyə və yuxarı axın xidmətinə qarşı qurbanın kimliyinə bürünməyə imkan verir. Bu problem 18.1.2 versiyasında düzəldilmişdir.