CVE-2026-48022

@hapi/wreck bir HTTP istemci yardımcı programıdır. 18.1.2 sürümünden önce Wreck, çapraz kökenli (cross-origin) bir yönlendirmeyi takip etmeden önce Authorization, Cookie ve Proxy-Authorization dahil olmak üzere kimlik bilgisi üstbilgilerini temizler; ancak köken kontrolü yalnızca ana bilgisayar adlarını karşılaştırır, şemayı ve portu görmezden gelir. Bu nedenle, aynı ana bilgisayar üzerindeki port değişikliklerinde ve HTTPS'ten HTTP'ye düşürme işlemlerinde kimlik bilgileri bozulmadan iletilir; bu durum, komşu bir porttaki ortak kiracının veya yönlendirme sahteciliği yapabilen ağ konumundaki bir saldırganın taşıyıcı belirteçleri (bearer tokens), oturum çerezlerini ve proxy kimlik bilgilerini ele geçirerek üst servis karşısında kurbanı taklit etmesine olanak tanır. Bu sorun 18.1.2 sürümünde düzeltilmiştir.