p PatchFirst

CVE-2026-40895

CVE-2026-40895 · follow-redirects: Custom Authentication Headers Leaked to Cross-Domain Redirect Targets

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Esta página muestra una selección de datos de las fuentes. Consulte los avisos enlazados para ver la descripción completa y las versiones afectadas.

follow-redirects is an open source, drop-in replacement for Node's `http` and `https` modules that automatically follows redirects. Prior to 1.16.0, when an HTTP request follows a cross-domain redirect (301/302/307/308), follow-redirects only strips authorization, proxy-authorization, and cookie headers (matched by regex at index.js). Any custom authentication header (e.g., X-API-Key, X-Auth-Token, Api-Key, Token) is forwarded verbatim to the redirect target. This vulnerability is fixed in 1.16.0.

CVSS 6.9 · Media · EPSS 0,5% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • follow-redirects

    Versiones
    • < 1.16.0: Afectada

    Sin corrección publicada

  • node-follow-redirects Debian:12

    Versiones
    • 1.15.11+~1.14.4-1
    • 1.15.11+~1.14.4-2
    • 1.15.2+~1.14.1-1
    • 1.15.3+~1.14.2-1
    • 1.15.6+~1.14.4-1
    • 1.15.6+~1.14.4-2
    • 1.15.9+~1.14.4-1
    • 1.16.0+~1.14.4-1
    • 1.16.0+~1.14.4-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-follow-redirects Debian:13

    Versiones
    • 1.15.11+~1.14.4-1
    • 1.15.11+~1.14.4-2
    • 1.15.9+~1.14.4-1
    • 1.16.0+~1.14.4-1
    • 1.16.0+~1.14.4-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-follow-redirects Debian:14

    Versiones
    • 1.15.11+~1.14.4-1
    • 1.15.11+~1.14.4-2
    • 1.15.9+~1.14.4-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.16.0+~1.14.4-1

    Actualiza a 1.16.0+~1.14.4-1

  • follow-redirects npm

    Intervalos de versiones afectados
    • SEMVER: < 1.16.0

    Actualiza a 1.16.0

  • node-follow-redirects Ubuntu:Pro:18.04:LTS

    Versiones
    • 1.2.4-1
    • 1.2.4-1ubuntu0.18.04.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.4-1ubuntu0.18.04.1~esm2

    Actualiza a 1.2.4-1ubuntu0.18.04.1~esm2

  • node-follow-redirects Ubuntu:Pro:20.04:LTS

    Versiones
    • 1.2.4-1
    • 1.2.4-1ubuntu0.20.04.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.4-1ubuntu0.20.04.1~esm2

    Actualiza a 1.2.4-1ubuntu0.20.04.1~esm2

  • node-follow-redirects Ubuntu:Pro:22.04:LTS

    Versiones
    • 1.13.1-1
    • 1.14.5-1
    • 1.14.7+~1.13.1-1
    • 1.14.8+~1.14.0-1
    • 1.14.9+~1.14.1-1
    • 1.14.9+~1.14.1-1ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.14.9+~1.14.1-1ubuntu0.1~esm2

    Actualiza a 1.14.9+~1.14.1-1ubuntu0.1~esm2

  • node-follow-redirects Ubuntu:Pro:24.04:LTS

    Versiones
    • 1.15.2+~1.14.1-1
    • 1.15.3+~1.14.2-1
    • 1.15.6+~1.14.4-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.15.6+~1.14.4-1ubuntu0.1~esm1

    Actualiza a 1.15.6+~1.14.4-1ubuntu0.1~esm1

  • node-follow-redirects Ubuntu:25.10

    Versiones
    • 1.15.9+~1.14.4-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-follow-redirects Ubuntu:Pro:26.04:LTS

    Versiones
    • 1.15.9+~1.14.4-1
    • 1.15.11+~1.14.4-1build1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.15.11+~1.14.4-1ubuntu0.1~esm1

    Actualiza a 1.15.11+~1.14.4-1ubuntu0.1~esm1

Fuentes originales

Comprueba tu servidor →