Tesla: Authorization header leaks on cross-origin redirect via case-sensitive filtering — GHSA-9M9W-GXF7-RH8M

GitHub · GitHub · GHSA-9M9W-GXF7-RH8M

ID
GHSA-9M9W-GXF7-RH8M

Datum
2026-07-10

Quelle
GitHub

Vendor
GitHub

Risiko
high

CVSS
8.2

EPSS
0.00396

Zusammenfassung

### Summary `Tesla.Middleware.FollowRedirects` is meant to strip the `Authorization` header when following a cross-origin redirect, but performs the check with a case-sensitive comparison against the lowercase string `"authorization"`. Because Tesla preserves header keys exactly as supplied by the caller, any application that sets the header with its RFC 7235 canonical casing (`"Authorization"`) bypasses the filter…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-07-10

Risikokontext

Gemeldeter Schweregrad oder Risikowert: high.
Gemeldeter CVSS-Wert: 8.2 von 10.
Gemeldeter EPSS-Wert: 0.00396.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: erlang: tesla.

Produkt

erlang: tesla

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-9M9W-GXF7-RH8M
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-07-10
Letzte Quellenaktivität: 2026-07-10
Weitere Kennungen: CVE-2026-48595
Kuratiert von: hlukh.ch