Dans follow-redirects 1.16.0, les en-têtes sensibles n’étaient pas supprimés lors de redirections inter-hôtes ou vers un protocole moins sûr si les en-têtes étaient fournis sous forme de tableau de paires nom-valeur. Une application utilisant ce format et suivant une redirection contrôlée par un tiers pouvait transmettre des identifiants à la destination ; mettre à niveau vers 1.16.1.
Source : NVD — CVE-2026-111756
Analyse technique
La suppression des en-têtes parcourt le conteneur comme un objet à clés de noms d’en-tête ; avec un tableau, les indices numériques ne correspondent pas au filtre. Les en-têtes concernés comprennent Authorization, Proxy-Authorization, Cookie et ceux déclarés dans `sensitiveHeaders`.
Impact, versions et correctif
Action recommandée
Mettre à niveau follow-redirects vers 1.16.1 ; examiner les appels qui fournissent les en-têtes sous forme de tableau et suivent des redirections externes.
Sources
Priorisation DFS : P3 · 1 source(s).