GitHub 安全公告库 (GHSA)·· 2 天前精选AI 评分58
follow-redirects 数组形式 headers 绕过跨域凭据剥离，影响 1.15.11 与 1.16.0
follow-redirects array-form headers bypass cross-origin credential stripping
AI 导读
follow-redirects 在跟随跨域或协议降级重定向时，本应移除 Authorization、Proxy-Authorization、Cookie 及调用方声明的 sensitiveHeaders。
为什么值得看
公告指出数组形式 headers 会让跨域凭据剥离静默失效，并给出可复现脚本与修复思路，便于使用该库的 Node.js 项目自查。
来源：GitHub 安全公告库 (GHSA) · github.com