GitHub 安全公告库 (GHSA)·· 2 天前AI 评分42
follow-redirects 1.16.0 的 sensitiveHeaders 正则转义不全可致凭据头泄露
follow-redirects sensitiveHeaders regex escaping can expose credential headers
AI 导读
follow-redirects 1.16.0 为修复 CVE-2026-40895 / GHSA-r4q5-vmmm-2653 引入的 sensitiveHeaders 选项存在正则转义缺陷：escapeRegex 未转义 `^`、`|`、`[`、`{`、`}`，声明含 `^` 或 `|` 的自定义凭据头名时过滤规则无法匹配该头，跨域重定向时凭据被静默转发给攻击者。
来源：GitHub 安全公告库 (GHSA) · github.com