follow-redirects: Offenlegung von Credential-Headern bei sensitiveHeaders-Verarbeitung

Zusammenfassung

follow-redirects ist eine Node.js-Bibliothek, die HTTP- und HTTPS-Redirects automatisch verfolgt. In den Versionen 1.16.0 bis 1.16.1 escapet die Funktion escapeRegex die Regex-Metazeichen ^ und | nicht, weshalb ein sensitiver Header mit einem dieser Zeichen im Namen vom Filter nicht erkannt wird. Folgt die Anwendung einer Weiterleitung über verschiedene Ursprünge oder von HTTPS auf HTTP, kann der Credential-Header an ein vom Angreifer kontrolliertes Ziel weitergeleitet werden. Voraussetzung ist, dass die Anwendung einen solchen sensitiven Header deklariert und Anfragen weitergeleitet werden.

Betroffen

• follow-redirects >= 1.16.0, < 1.16.1
• Anwendungen, die eigene sensitiveHeaders-Namen mit ^ oder | deklarieren
• Transitive Nutzung, z. B. über axios, das die Weiterleitungsbehandlung an follow-redirects delegiert

Behoben in

• 1.16.1 (Korrektur für diese CVE laut Hersteller)
• Hinweis: Laut Drittanbieter-Advisories behebt auch 1.16.2 oder neuer CVE-2026-116689, die die Versionen 1.16.0 und 1.16.1 betrifft. Dies im upstream GHSA bestätigen.

Umgehung

Unbekannt. Der Hersteller dokumentiert keinen Workaround. Das Aktualisieren ist die einzige dokumentierte Korrektur.

Ausnutzung

• Aktiv ausgenutzt (CISA KEV): In den geprüften Quellen nicht gefunden; als unverifiziert behandeln
• Laut Advisory-Text und Drittquellen existiert öffentliches Proof-of-Concept-Material
• VulDB listet keinen bekannten Exploit, was im Widerspruch zum PoC-Material steht
• CISA SSVC: Exploitation poc, Automatable no, Technical Impact partial

Unsere Empfehlung

• Node.js-Projekte und Lockfiles/SBOMs auf follow-redirects prüfen, einschliesslich transitiver Abhängigkeiten
• Auf 1.16.2 oder neuer aktualisieren (mindestens 1.16.1); die korrigierte Version im upstream GHSA prüfen
• Anwendungen prüfen, die eigene sensitiveHeaders mit ^ oder | deklarieren und diese über Weiterleitungen an externe Endpunkte senden
• axios-basierte Dienste priorisieren, die externe APIs, Webhooks oder Partnersysteme aufrufen; sonst im normalen Patch-Zyklus beheben
• Ausgehenden Datenverkehr auf unerwartete Weiterleitungsziele mit Credentials überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8r9p-f939-6h3c github.com
• Fix commit 080a76d github.com
• Release v1.16.1 github.com
• OSV GHSA-8r9p-f939-6h3c osv.dev
• GitLab advisory CVE-2026-116689 (related issue, fixed in 1.16.2) advisories.gitlab.com
• SUSE CVE-2026-111756 (sibling advisory) www.suse.com
• VulDB CVE-2026-111755 vuldb.com
• HOL Guard CVE-2026-111755 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:42.