CVE-2026-48595

elixir-tesla tesla kitabxanasındakı böyük-kiçik hərflərə qarşı həssaslığın yanlış idarə edilməsi zəifliyi, çarpaz mənşəli yönləndirmələr zamanı etibarnamələrin üçüncü tərəf mənşəsinə sızmasına şərait yaradır. Tesla.Middleware.FollowRedirects kiçik hərflərdən ibarət filtrləmə siyahısına (@filter_headers ["authorization", "host"]) əsasən, böyük-kiçik hərflərə həssas sətir müqayisəsi apararaq çarpaz mənşəli yönləndirmələr zamanı təhlükəsizlik baxımından kritik başlıqları silir. RFC 7230 standartına əsasən, HTTP başlıq adları böyük-kiçik hərflərə qarşı həssas deyil, lakin Tesla başlıq açarlarını normalizasiya etmədən çağırıcı tərəfindən təqdim edildiyi kimi saxlayır. {"Authorization", "Bearer …"} (demək olar ki, bütün HTTP kitabxanaları və sənədləri tərəfindən istifadə olunan RFC 7235 kanonik yazılışı) şəklində təyin edilmiş başlıq kiçik hərfli filtr elementinə uyğun gəlmir və yönləndirmə təyinatına ötürülür. Müştəri tərəfindən görülən Location: cavabını idarə edə bilən və ya ona təsir göstərə bilən hücumçu (öz son nöqtəsi, açıq yönləndirməli yuxarı axın və ya kompromisə uğramış mənşə vasitəsilə), çarpaz mənşəli sorğu zamanı bearer tokenini və ya digər Authorization məlumatlarını əldə edir. Bu problem tesla: 1.4.0 versiyasından 1.18.3 versiyasına qədər olan versiyalara təsir edir.