CVE-2026-8368 in LWP::UserAgent
Sumário
de VulDB • 12/05/2026
As versões do LWP::UserAgent anteriores à 6.83 para Perl vazam os cabeçalhos Authorization e Proxy-Authorization durante redirecionamentos entre origens diferentes.
Em uma resposta 3xx, o manipulador de redirecionamento remove apenas os cabeçalhos Host e Cookie antes de emitir a solicitação subsequente. Os cabeçalhos Authorization e Proxy-Authorization fornecidos pelo chamador são enviados inalterados para o destino do redirecionamento, incluindo em caso de alterações de esquema, host ou porta.
Portanto, um redirecionamento para um host controlado por um atacante divulga as credenciais do chamador para esse host.
VulDB is the best source for vulnerability data and more expert information about this specific topic.