CVE-2026-55553 in urllib
Zusammenfassung
von VulDB • 25.08.2026
urllib ist ein HTTP-Client für Node.js, der Authentifizierung, Umleitungen (Redirects), Timeouts und weitere Anfragefunktionen unterstützt. Vor den Versionen 4.9.1 und 2.44.1 folgt urllib Umleitungen über `followRedirect`, wiederverwendet jedoch vom Aufrufer bereitgestellte Optionen über verschiedene Ursprünge hinweg. In `src/HttpClient.ts` ruft `#requestInternal` rekursiv diese Methode mit `(nextUrl.href, options, requestContext)` auf, wodurch die Werte von `options.headers` sowie `auth` oder `digestAuth` wiederverwendet werden, wenn das Umleitungsziel ein anderes Schema, Host-Name oder Port hat. Daher können Authorization-, Cookie-, Proxy-Authorization-, x-api-key-, x-auth-token- und x-access-Token-Werte an einen vom Angreifer kontrollierten Umleitungsort gesendet werden, wodurch Anmeldeinformationen offengelegt werden, die ursprünglich für den ursprünglichen Ursprung bestimmt waren, was potenziell eine Wiederverwendung gegen die ursprüngliche Partner-API oder verwandte Dienste ermöglicht. Keine Benutzerinteraktion ist erforderlich. Dieses Problem wurde in den Versionen 2.44.1 und 4.9.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.