PT-2025-4305 · Deno · Deno
Rexxars
·
Publicado
2025-01-06
·
Atualizado
2025-01-07
·
CVE-2025-21620
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Deno anteriores à 2.1.2
Descrição
O Deno é um runtime de JavaScript, TypeScript e WebAssembly com configurações padrão seguras. Quando uma requisição com o cabeçalho
Authorization é enviada para um domínio e a resposta solicita um redirecionamento para um domínio diferente, o gerenciamento de redirecionamento do fetch() do Deno cria uma requisição de redirecionamento subsequente que mantém o cabeçalho Authorization original, vazando seu conteúdo para esse segundo domínio.Recomendações
Para versões do Deno anteriores à 2.1.2, atualize para a versão 2.1.2 ou posterior para resolver o problema. Como medida temporária, considere desabilitar o gerenciamento de redirecionamento da função
fetch() para requisições sensíveis até que uma correção esteja disponível. Restrinja o acesso à API fetch() para minimizar o risco de exploração. Evite usar o cabeçalho Authorization em requisições que possam ser redirecionadas para domínios diferentes até que o problema seja resolvido.Exploit
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Deno