CVE-2022-0155：follow-redirects信息泄露漏洞(CVSS 8)

CVE-2022-0155 漏洞影响 follow-redirects 模块，可能导致敏感个人信息泄露给未经授权的攻击者。攻击者可以通过精心构造的HTTP请求，利用模块在处理重定向时可能存在的缺陷，诱导其访问包含敏感信息的内部资源或外部服务。例如，一个恶意网站可以设置一个重定向链，其中包含指向包含用户个人数据的URL。当用户访问该恶意网站时，follow-redirects 模块在处理重定向的过程中，可能将用户请求错误地转发到包含敏感信息的URL，从而导致攻击者获取这些信息。受影响的应用可能包括使用 follow-redirects 模块进行HTTP请求的Node.js应用程序。数据泄露的范围取决于应用程序访问的敏感信息的类型和数量，可能包括用户的个人身份信息 (PII)、财务信息或其他敏感数据。攻击的范围取决于应用程序的架构和配置，如果应用程序与其他系统共享数据，那么攻击的范围可能会扩大。攻击者可能利用这些信息进行身份盗用、欺诈或其他恶意活动。

1. 已保留2022-01-07
2. 发布日期2022-01-10
3. 修改日期2024-08-02
4. EPSS 更新日期2026-04-02

为了修复 CVE-2022-0155 漏洞，建议立即将 follow-redirects 模块升级到 1.14.7 或更高版本。该版本已经修复了该漏洞。如果无法立即升级，可以考虑使用一些临时缓解措施，例如限制应用程序访问的外部资源，或者对所有HTTP请求进行严格的验证和过滤。升级时，请确保应用程序的依赖项与新版本兼容，并进行充分的测试，以确保升级不会引入新的问题。升级后，建议重新配置应用程序的HTTP请求处理逻辑，以确保其符合安全最佳实践。验证升级是否成功可以通过检查模块的版本号，以及测试应用程序的HTTP请求处理功能，确保其不再受到漏洞的影响。在生产环境中部署升级之前，务必在测试环境中进行充分的测试。