CVE-2026-8368 in LWP::UserAgent
Resumen
por VulDB • 2026-05-12
Las versiones de LWP::UserAgent anteriores a la 6.83 para Perl filtran los encabezados Authorization y Proxy-Authorization durante las redirecciones entre orígenes distintos (cross-origin).
En una respuesta 3xx, el controlador de redirección elimina únicamente los encabezados Host y Cookie antes de emitir la solicitud subsiguiente. Los encabezados Authorization y Proxy-Authorization proporcionados por el llamante se envían sin cambios al destino de la redirección, incluso cuando hay cambios en el esquema, el host o el puerto.
Por lo tanto, una redirección a un host controlado por un atacante revela las credenciales del llamante a dicho host.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.