p PatchFirst

CVE-2026-40895

CVE-2026-40895 · follow-redirects: Custom Authentication Headers Leaked to Cross-Domain Redirect Targets

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Diese Seite zeigt ausgewählte Angaben aus den Quellen. Die vollständige Beschreibung und betroffene Versionen finden Sie in den verlinkten Sicherheitshinweisen.

follow-redirects is an open source, drop-in replacement for Node's `http` and `https` modules that automatically follows redirects. Prior to 1.16.0, when an HTTP request follows a cross-domain redirect (301/302/307/308), follow-redirects only strips authorization, proxy-authorization, and cookie headers (matched by regex at index.js). Any custom authentication header (e.g., X-API-Key, X-Auth-Token, Api-Key, Token) is forwarded verbatim to the redirect target. This vulnerability is fixed in 1.16.0.

CVSS 6.9 · Mittel · EPSS 0,5% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • follow-redirects

    Softwareversionen
    • < 1.16.0: Betroffen

    Keine Korrektur veröffentlicht

  • node-follow-redirects Debian:12

    Softwareversionen
    • 1.15.11+~1.14.4-1
    • 1.15.11+~1.14.4-2
    • 1.15.2+~1.14.1-1
    • 1.15.3+~1.14.2-1
    • 1.15.6+~1.14.4-1
    • 1.15.6+~1.14.4-2
    • 1.15.9+~1.14.4-1
    • 1.16.0+~1.14.4-1
    • 1.16.0+~1.14.4-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-follow-redirects Debian:13

    Softwareversionen
    • 1.15.11+~1.14.4-1
    • 1.15.11+~1.14.4-2
    • 1.15.9+~1.14.4-1
    • 1.16.0+~1.14.4-1
    • 1.16.0+~1.14.4-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-follow-redirects Debian:14

    Softwareversionen
    • 1.15.11+~1.14.4-1
    • 1.15.11+~1.14.4-2
    • 1.15.9+~1.14.4-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.16.0+~1.14.4-1

    Auf 1.16.0+~1.14.4-1 aktualisieren

  • follow-redirects npm

    Betroffene Versionsbereiche
    • SEMVER: < 1.16.0

    Auf 1.16.0 aktualisieren

  • node-follow-redirects Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 1.2.4-1
    • 1.2.4-1ubuntu0.18.04.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.2.4-1ubuntu0.18.04.1~esm2

    Auf 1.2.4-1ubuntu0.18.04.1~esm2 aktualisieren

  • node-follow-redirects Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 1.2.4-1
    • 1.2.4-1ubuntu0.20.04.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.2.4-1ubuntu0.20.04.1~esm2

    Auf 1.2.4-1ubuntu0.20.04.1~esm2 aktualisieren

  • node-follow-redirects Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 1.13.1-1
    • 1.14.5-1
    • 1.14.7+~1.13.1-1
    • 1.14.8+~1.14.0-1
    • 1.14.9+~1.14.1-1
    • 1.14.9+~1.14.1-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.14.9+~1.14.1-1ubuntu0.1~esm2

    Auf 1.14.9+~1.14.1-1ubuntu0.1~esm2 aktualisieren

  • node-follow-redirects Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 1.15.2+~1.14.1-1
    • 1.15.3+~1.14.2-1
    • 1.15.6+~1.14.4-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.15.6+~1.14.4-1ubuntu0.1~esm1

    Auf 1.15.6+~1.14.4-1ubuntu0.1~esm1 aktualisieren

  • node-follow-redirects Ubuntu:25.10

    Softwareversionen
    • 1.15.9+~1.14.4-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-follow-redirects Ubuntu:Pro:26.04:LTS

    Softwareversionen
    • 1.15.9+~1.14.4-1
    • 1.15.11+~1.14.4-1build1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.15.11+~1.14.4-1ubuntu0.1~esm1

    Auf 1.15.11+~1.14.4-1ubuntu0.1~esm1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →