🇰🇷 한글 설명
follow-redirects 1.16.0 미만 버전에서 HTTP 요청이 교차 도메인 리다이렉트를 수행할 때, 표준 인증 헤더 외에 사용자 정의 인증 헤더(예: X-API-Key)가 제거되지 않고 대상 서버로 전달되는 취약점입니다. 이로 인해 민감한 인증 정보가 의도치 않은 제3의 도메인으로 유출될 수 있습니다.
💡 쉬운 설명
웹사이트가 다른 사이트로 자동으로 연결될 때, 원래 사이트에서 사용하던 비밀 열쇠(인증 헤더)를 새 사이트에도 그대로 넘겨주는 보안 결함입니다. 이로 인해 해커가 만든 사이트로 접속할 경우 사용자의 중요한 인증 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
follow-redirects is an open source, drop-in replacement for Node's `http` and `https` modules that automatically follows redirects. Prior to 1.16.0, when an HTTP request follows a cross-domain redirect (301/302/307/308), follow-redirects only strips authorization, proxy-authorization, and cookie headers (matched by regex at index.js). Any custom authentication header (e.g., X-API-Key, X-Auth-Token, Api-Key, Token) is forwarded verbatim to the redirect target. This vulnerability is fixed in 1.16.0.
📍 영향받는 시스템
follow-redirects 버전 1.16.0 미만
⚔️ 공격 벡터
공격자가 제어하는 도메인으로 리다이렉트되는 링크를 통해 사용자 정의 인증 헤더를 탈취
🛡️ 대응 방법
follow-redirects 라이브러리를 1.16.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 follow-redirects의 버전이 1.16.0 미만인지 확인
npm list follow-redirects