PT-2022-7066 · Undici+7 · Undici+7
Ranjit-Git
·
Publicado
2022-07-21
·
Atualizado
2025-02-13
·
CVE-2023-45143
CVSS v2.0
4.0
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Undici anteriores à 5.26.2
Descrição
O problema está relacionado ao tratamento de cabeçalhos no cliente HTTP/1.1 do Undici para Node.js. Especificamente, antes da versão 5.26.2, o Undici limpava os cabeçalhos de autorização em redirecionamentos entre origens, mas não limpava os cabeçalhos
cookie. Por padrão, os cabeçalhos cookie são cabeçalhos de solicitação proibidos, o que pode levar ao vazamento acidental de cookies para um site de terceiros ou permitir que um invasor mal-intencionado vaze cookies se conseguir controlar o destino do redirecionamento.Recomendações
Para versões anteriores à 5.26.2, atualize para a versão 5.26.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a cabeçalhos
cookie confidenciais até que a atualização possa ser aplicada.Exploit
Correção
Origin Validation Error
Open Redirect
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Red Hat
Red Os
Rocky Linux
Suse
Undici