CVE-2026-27193 in feathers
Riassunto
di VulDB • 23/07/2026
Feathersjs è un framework per la creazione di API web e applicazioni real-time con TypeScript o JavaScript. Nelle versioni 5.0.39 e precedenti, tutte le intestazioni delle richieste HTTP vengono memorizzate nel cookie di sessione, che viene firmato ma non cifrato, esponendo ai client le intestazioni interne del proxy/gateway. Il servizio OAuth memorizza l'oggetto completo delle intestazioni nella sessione; successivamente, la sessione viene persistita tramite cookie-session, che codifica i dati in base64. Sebbene il cookie sia firmato per prevenirne la manipolazione (tampering), il contenuto è leggibile da chiunque decodificando semplicemente il valore in base64. In specifiche configurazioni di deployment (ad esempio dietro reverse proxy o API gateway), ciò può portare all'esposizione di dettagli sensibili dell'infrastruttura interna, quali chiavi API, token di servizio e indirizzi IP interni. Il problema è stato risolto nella versione 5.0.40.
If you want to get best quality of vulnerability data, you may have to visit VulDB.