CVE-2026-49336

@microsoft/kiota-http-fetchlibrary, Kiota tarafından oluşturulan API istemcileri için TypeScript kütüphaneleri sağlar. 1.0.0-preview.97 ile 1.0.0-preview.101 arasındaki sürümlerde, `@microsoft/kiota-http-fetchlibrary` içindeki `RedirectHandler`'ın, farklı kökenli yönlendirme hedeflerinden `Authorization` ve `Cookie` başlıklarını kaldırdığı belgelenmiştir; ancak `RedirectHandlerOptions` içindeki varsayılan `scrubSensitiveHeaders` geri çağırma işlemi, `FetchRequestAdapter.getRequestFromRequestInformation` tarafından zaten küçük harfe dönüştürülmüş bir başlıklar nesnesi üzerinde büyük-küçük harf duyarlı özellik silme (`delete headers.Authorization`, `delete headers.Cookie`) işlemi gerçekleştirir. Bu nedenle silme işlemi mevcut olmayan anahtarları hedef alır, temizleme işlemi etkisiz kalır ve kiota tarafından oluşturulmuş bir SDK tarafından eklenen herhangi bir Bearer belirteci veya Cookie, 30x yönlendirmesi aracılığıyla saldırgan kontrollü bir ana bilgisayara iletilir. Bu durum, özel bir yapılandırma olmaksızın varsayılan ara katman zincirinde (`MiddlewareFactory.getDefaultMiddlewares`) erişilebilirdir ve `BaseBearerTokenAuthenticationProvider` kullanan veya `Authorization` istek başlığını ayarlayan diğer tüm kimlik doğrulama sağlayıcılarını kullanan her kiota tabanlı TypeScript SDK'sı için geçerlidir. 1.0.0-preview.102 sürümü bu sorunu giderir.