p PatchFirst

CVE-2026-44503

CVE-2026-44503 · Kiota abstractions RedirectHandler leaks Cookie/Proxy-Authorization headers on cross-host redirect

This page contains facts from public vulnerability sources. Check the original advisory before updating.

The RedirectHandler middleware in microsoft/kiota-java (com.microsoft.kiota:microsoft-kiota-http-okHttp v1.9.0) and other Kiota libraries fails to strip sensitive HTTP headers when following 3xx redirects to a different host or scheme. Only the Authorization header is removed; Cookie, Proxy-Authorization, and all custom headers are forwarded to the redirect target.

CVSS 7.0 · High · EPSS 0.6% · Fix available

Published
Updated

Stack: python · node

Affected products and versions

  • kiota-java

    Versions
    • < 1.9.1: Affected

    No fix published

  • microsoft.kiota.abstractions

    Versions
    • < 1.22.0: Affected

    No fix published

  • github.com/microsoft/kiota-http-go

    Versions
    • < 1.5.5: Affected

    No fix published

  • kiota-typescript

    Versions
    • < 1.0.0-preview.100: Affected

    No fix published

  • microsoft-kiota-abstractions

    Versions
    • < 1.9.1: Affected

    No fix published

  • microsoft-kiota-http

    Versions
    • < 1.9.9: Affected

    No fix published

  • com.microsoft.kiota:microsoft-kiota-abstractions Maven

    Versions
    • 0.1.2
    • 0.10.0
    • 0.11.0
    • 0.11.1
    • 0.11.2
    • 0.12.0
    • 0.12.1
    • 0.12.2
    • 0.2.0
    • 0.2.1
    • 0.3.0
    • 0.3.1
    • 0.3.2
    • 0.3.3
    • 0.4.0
    • 0.4.1
    • 0.4.2
    • 0.4.3
    • 0.4.4
    • 0.4.5
    • 0.4.6
    • 0.4.7
    • 0.5.0
    • 0.6.0
    • 0.7.0
    • 0.7.1
    • 0.7.2
    • 0.7.3
    • 0.7.4
    • 0.7.5
    • 0.7.6
    • 0.7.7
    • 0.7.8
    • 0.8.0
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.0.4
    • 1.0.5
    • 1.0.6
    • 1.1.0
    • 1.1.1
    • 1.1.10
    • 1.1.11
    • 1.1.12
    • 1.1.13
    • 1.1.14
    • 1.1.2
    • 1.1.3
    • 1.1.4
    • 1.1.5
    • 1.1.6
    • 1.1.7
    • 1.1.8
    • 1.1.9
    • 1.2.0
    • 1.3.0
    • 1.4.0
    • 1.5.0
    • 1.5.1
    • 1.6.0
    • 1.7.0
    • 1.8.0
    • 1.8.1
    • 1.8.10
    • 1.8.11
    • 1.8.12
    • 1.8.2
    • 1.8.3
    • 1.8.4
    • 1.8.5
    • 1.8.6
    • 1.8.7
    • 1.8.8
    • 1.8.9
    • 1.9.0
    Affected ranges
    • ECOSYSTEM: < 1.9.1

    Update to 1.9.1

  • microsoft.kiota.abstractions NuGet

    Versions
    • 1.0.0
    • 1.0.1
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.1.4
    • 1.10.0
    • 1.10.1
    • 1.11.0
    • 1.11.1
    • 1.11.2
    • 1.11.3
    • 1.12.0
    • 1.12.1
    • 1.12.2
    • 1.12.3
    • 1.12.4
    • 1.13.0
    • 1.13.1
    • 1.13.2
    • 1.14.0
    • 1.15.0
    • 1.15.1
    • 1.15.2
    • 1.16.0
    • 1.16.1
    • 1.16.2
    • 1.16.3
    • 1.16.4
    • 1.17.0
    • 1.17.1
    • 1.17.2
    • 1.17.3
    • 1.17.4
    • 1.18.0
    • 1.19.0
    • 1.19.1
    • 1.2.0
    • 1.2.1
    • 1.20.0
    • 1.20.1
    • 1.21.0
    • 1.21.1
    • 1.21.2
    • 1.21.3
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.3.5
    • 1.4.0
    • 1.5.0
    • 1.6.0
    • 1.6.1
    • 1.7.0
    • 1.7.1
    • 1.7.10
    • 1.7.11
    • 1.7.12
    • 1.7.2
    • 1.7.3
    • 1.7.4
    • 1.7.5
    • 1.7.6
    • 1.7.7
    • 1.7.8
    • 1.7.9
    • 1.8.0
    • 1.8.1
    • 1.8.2
    • 1.8.3
    • 1.8.4
    • 1.9.0
    • 1.9.1
    • 1.9.10
    • 1.9.11
    • 1.9.12
    • 1.9.2
    • 1.9.3
    • 1.9.4
    • 1.9.5
    • 1.9.6
    • 1.9.7
    • 1.9.8
    • 1.9.8-preview
    • 1.9.9
    Affected ranges
    • ECOSYSTEM: < 1.22.0

    Update to 1.22.0

  • microsoft-kiota-http PyPI

    Versions
    • 0.1.0
    • 0.1.1
    • 0.1.2
    • 0.2.0
    • 0.2.1
    • 0.2.2
    • 0.2.3
    • 0.3.0
    • 0.3.1
    • 0.4.0
    • 0.4.1
    • 0.4.2
    • 0.4.3
    • 0.4.4
    • 0.5.0
    • 0.6.0
    • 0.6.1
    • 0.6.2
    • 0.6.3
    • 1.0.0
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.4.4
    • 1.4.5
    • 1.4.6
    • 1.5.0
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.6.5
    • 1.6.6
    • 1.6.7
    • 1.6.8
    • 1.7.0
    • 1.7.1
    • 1.8.0
    • 1.9.0
    • 1.9.1
    • 1.9.2
    • 1.9.3
    • 1.9.4
    • 1.9.5
    • 1.9.6
    • 1.9.7
    • 1.9.8
    Affected ranges
    • ECOSYSTEM: < 1.9.9

    Update to 1.9.9

  • kiota-typescript npm

    Affected ranges
    • SEMVER: < 1.0.0-preview.100

    Update to 1.0.0-preview.100

  • github.com/microsoft/kiota-http-go Go

    Affected ranges
    • SEMVER: < 1.5.5

    Update to 1.5.5

Original sources

Check your server →