CVE-2026-49336

@microsoft/kiota-http-fetchlibrary, Kiota tərəfindən yaradılmış API klientləri üçün TypeScript kitabxanaları təmin edir. 1.0.0-preview.97 və 1.0.0-preview.101 versiyalarında `@microsoft/kiota-http-fetchlibrary`-nin `RedirectHandler` komponentinin çarpaz mənşəli yönləndirmə hədəflərindən `Authorization` və `Cookie` başlıqlarını sildiyi sənədləşdirilib, lakin `RedirectHandlerOptions`-dakı standart `scrubSensitiveHeaders` geri çağırışı (callback), `FetchRequestAdapter.getRequestFromRequestInformation` tərəfindən artıq kiçik hərflərə çevrilmiş başlıqlar obyekti üzərində böyük-kiçik hərflərə həssas xüsusiyyət silmə əməliyyatından (`delete headers.Authorization`, `delete headers.Cookie`) istifadə edir. Nəticədə, silmə əməliyyatı mövcud olmayan açarları hədəf alır, təmizləmə prosesi yerinə yetirilmir və kiota tərəfindən yaradılmış SDK vasitəsilə əlavə edilmiş hər hansı Bearer token və ya Cookie 30x yönləndirməsi ilə hücumçunun nəzarət etdiyi hosta ötürülür. Bu problem heç bir xüsusi konfiqurasiya olmadan standart proqram təminatı zəncirində (`MiddlewareFactory.getDefaultMiddlewares`) əlçatandır və `BaseBearerTokenAuthenticationProvider` və ya `Authorization` sorğu başlığını təyin edən digər autentifikasiya provayderlərini istifadə edən bütün kiota tərəfindən yaradılmış TypeScript SDK-larına şamil edilir. 1.0.0-preview.102 versiyasında bu problem aradan qaldırılıb.