p PatchFirst

CVE-2022-31151

CVE-2022-31151 · Uncleared cookies on cross-host/cross-origin redirect in undici

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Authorization headers are cleared on cross-origin redirect. However, cookie headers which are sensitive headers and are official headers found in the spec, remain uncleared. There are active users using cookie headers in undici. This may lead to accidental leakage of cookie to a 3rd-party site or a malicious attacker who can control the redirection target (ie. an open redirector) to leak the cookie to the 3rd party site. This was patched in v5.7.1. By default, this vulnerability is not exploitable. Do not enable redirections, i.e. `maxRedirections: 0` (the default).

CVSS 3.7 · Faible · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • undici

    Versions du logiciel
    • < 5.7.1: Concernée

    Aucun correctif publié

  • node-undici Debian:12

    Plages de versions concernées
    • ECOSYSTEM: < 5.8.0+dfsg1+~cs18.9.16-1

    Mettez à jour vers 5.8.0+dfsg1+~cs18.9.16-1

  • node-undici Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 5.8.0+dfsg1+~cs18.9.16-1

    Mettez à jour vers 5.8.0+dfsg1+~cs18.9.16-1

  • node-undici Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 5.8.0+dfsg1+~cs18.9.16-1

    Mettez à jour vers 5.8.0+dfsg1+~cs18.9.16-1

  • undici npm

    Plages de versions concernées
    • SEMVER: < 5.8.0

    Mettez à jour vers 5.8.0

  • node-undici Ubuntu:24.04:LTS

    Versions du logiciel
    • 5.22.1+dfsg1+~cs20.10.10.2-1ubuntu1
    • 5.26.3+dfsg1+~cs23.10.12-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-undici Ubuntu:25.10

    Versions du logiciel
    • 7.3.0+dfsg1+~cs24.12.11-1
    • 7.3.0+dfsg1+~cs24.12.11-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-undici Ubuntu:26.10

    Versions du logiciel
    • 7.18.2+dfsg+~cs3.2.0-1build1
    • 7.24.6+dfsg+~cs3.2.0-3
    • 8.5.0+dfsg+~cs3.2.0-2
    • 8.5.0+dfsg+~cs3.2.0-3
    • 8.9.0+dfsg+~cs3.2.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-undici Ubuntu:26.04:LTS

    Versions du logiciel
    • 7.3.0+dfsg1+~cs24.12.11-2
    • 7.16.0+dfsg+~cs3.2.0-2
    • 7.18.2+dfsg+~cs3.2.0-1
    • 7.18.2+dfsg+~cs3.2.0-1build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →