follow-redirects: Offenlegung von Zugangsdaten bei Redirect mit Array-Headern

Zusammenfassung

follow-redirects, eine Node.js-Bibliothek für HTTP- und HTTPS-Clients, die Redirects automatisch folgt, entfernt Credential-Header nicht, wenn eine Anwendung Header als Array übergibt. Ein vom Angreifer kontrollierter Server, den die Anwendung kontaktiert, kann mit einem Cross-Origin-Redirect die Header Authorization, Cookie und Proxy-Authorization unverändert erhalten. Eine Authentifizierung ist nicht nötig, die Anwendung muss aber Header als Array senden und Redirects auf nicht vertrauenswürdige Hosts folgen.

Betroffen

• follow-redirects 1.16.0 bis vor 1.16.1
• Anwendungen, die Header als Array übergeben und Redirects folgen

Behoben in

• Behoben in 1.16.1
• Version 1.16.2 behebt zusätzlich die verwandte Schwachstelle CVE-2026-116689 (cross-realm sensitiveHeaders-Arrays)

Umgehung

• Im Anwendungscode Header als einfaches Objekt verwenden
• Automatische Redirects für Aufrufe an Drittanbieter oder nicht vertrauenswürdige Endpunkte deaktivieren
• Der Hersteller dokumentiert keinen Workaround; ein Update ist die empfohlene Massnahme

Ausnutzung

• CISA SSVC stuft die Ausnutzung als PoC ein und die Automatisierbarkeit als nein
• Keine Ausnutzung in freier Wildbahn bekannt
• Das Risiko hängt vom Anwendungscode ab und ist tiefer, als der CVSS-Wert vermuten lässt

Unsere Empfehlung

• Auf allen Node.js-Projekten npm ls follow-redirects ausführen und auf 1.16.2 oder neuer aktualisieren
• Prüfen, ob Code Header als Array übergibt und ob ausgehende Aufrufe mit Zugangsdaten auf Drittanbieter umgeleitet werden können
• Ausgehenden Verkehr von Backend-Diensten überwachen, die externe APIs mit Tokens oder Cookies aufrufen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-111756 GitHub advisory GHSA-q3jh-wrc6-jgq8 github.com
• follow-redirects release v1.16.1 github.com
• Fix commit 9865ca4 github.com
• GitLab advisory CVE-2026-111756 advisories.gitlab.com
• GitLab advisory CVE-2026-116689 (fixed in 1.16.2) advisories.gitlab.com
• SUSE CVE page CVE-2026-111756 www.suse.com
• VulDB entry 422950 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:34.