CVE-2026-111756

follow-redirects, yönlendirmeleri otomatik olarak takip eden bir Node.js HTTP ve HTTPS istemci sarmalayıcısıdır. Versiyon 1.16.0 ile 1.16.1 öncesi arasındaki sürümlerde follow-redirects; farklı bir ana bilgisayara geçen veya daha az güvenli bir protokole düşen bir yönlendirmeyi takip etmeden önce hassas kimlik bilgisi üstbilgilerini (Authorization, Proxy-Authorization, Cookie ve çağırıcı tarafından beyan edilen tüm sensitiveHeaders) kaldırır. Kaldırma rutini, çağırıcının üstbilgi kapsayıcısını for...in ile yineleyerek üstbilgi adlarını bir filtreyle eşleştirir. Bu işlem, üstbilgi kapsayıcısının üstbilgi adlarıyla anahtarlanmış düz bir nesne olduğunu varsayar. follow-redirects'in doğrudan alternatifi olduğu Node'un temel http.request yapısı, üstbilgileri isimlerin ve değerlerin ardışık dizisi şeklinde de kabul eder. Bir dizi için for...in döngüsü "0", "1", "2" gibi sayısal indeksler üretir ve bunlar hiçbir zaman bir üstbilgi adı filtresiyle eşleşmez, dolayısıyla hiçbir şey kaldırılmaz. Dizi formunda üstbilgiler gönderen ve saldırgan kontrollü bir çapraz kökenli (cross-origin) yönlendirmeyi takip eden bir uygulama; Authorization, Cookie ve Proxy-Authorization üstbilgilerini herhangi bir hata veya uyarı olmaksızın aynen saldırgan kontrollü hedefe iletir. CVE-2026-40895 / GHSA-r4q5-vmmm-2653 hatasını düzeltmek için eklenen sensitiveHeaders seçeneği, aynı yardımcı fonksiyona dayandığı için aynı şekilde etkisizdir. Bu durum, kimlik doğrulaması gerektirmeyen bir gizlilik zafiyetidir: mağdur uygulamanın iletişim kurduğu herhangi bir uzak sunucu, çapraz kökenli bir yönlendirme yanıtı vererek mağdurun kimlik bilgisi üstbilgilerini toplayabilir. Bu sorun versiyon 1.16.1'de yamalanmıştır.