Veille sécuritéBackend & données
P4Moyenne
Dans follow-redirects, l’option sensitiveHeaders pouvait être ignorée lorsqu’elle contenait un tableau créé dans un autre environnement JavaScript. Lors d’une redirection inter-origine contrôlée par un attaquant, un en-tête d’identification personnalisé pouvait alors être transmis à la destination.
JavaScriptNode.js
IdentifiantCVE-2026-116689
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctiffollow-redirects 1.16.2
Source : NVD — CVE-2026-116689
Analyse technique
Le contrôle instanceof Array rejetait les tableaux inter-environnements et remplaçait la liste par un tableau vide.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-27 à 20:17:14.177Z, soit 2026-10-27T22:17:14.177+02:00, dans la période. Sa mise à jour du 2026-10-28 est postérieure à la borne de fin.
ImpactDivulgation possible d’en-têtes d’authentification personnalisés à un hôte de redirection.
Versions affectéesfollow-redirects 1.16.0 à 1.16.1
Version corrigéefollow-redirects 1.16.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-27T22:17:14.177+02:00
Action recommandée
Mettre à jour follow-redirects vers 1.16.2 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).