CVE-2026-111755
Vulnérabilité élevée dans follow-redirects (follow-redirects)
CVSS 8.2 · Élevée
follow-redirects•follow-redirects•Versions : >= 1.16.0, < 1.16.1
Description
follow-redirects is a Node.js HTTP and HTTPS client wrapper that automatically follows redirects. From 1.16.0 until 1.16.1, escapeRegex leaves valid header-name metacharacters unescaped in sensitiveHeaders. When an application declares a sensitive header whose name contains ^ or | and follows a cross-origin or HTTPS-to-HTTP redirect, unescaped regular-expression metacharacters prevent the generated filter from matching the declared header name, and the credential header is forwarded to an attacker-controlled redirect target. This issue is fixed in version 1.16.1.
Gravité et risque d'exploitation
CVE-2026-111755 obtient un score CVSS de 8.2/10, soit une gravité élevée.
Que faire ?
- Vérifiez si follow-redirects (versions >= 1.16.0, < 1.16.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.