JVNDB-2026-028887

Elixir TeslaのTeslaにおける大文字と小文字の区別の不適切な処理に関する脆弱性

elixir-teslaにおけるCase Sensitivityの不適切な扱いにより、クロスオリジンリダイレクト時に第三者のオリジンへ認証情報が漏洩する脆弱性が存在します。Tesla.Middleware.FollowRedirectsは、クロスオリジンリダイレクト時に大文字・小文字を区別する文字列比較を用いて、小文字のフィルターリスト（@filter_headers ["authorization", "host"]）と照合し、セキュリティに敏感なヘッダーを削除します。RFC 7230によればHTTPヘッダー名は大文字・小文字を区別しませんが、Teslaは呼び出し元から渡されたヘッダーキーをケースを正規化せずそのまま保持します。{"Authorization", "Bearer …"}のようにRFC 7235で標準的に記述される大文字・小文字を区別したヘッダーは小文字のフィルターに一致せず、そのままリダイレクト先に転送されてしまいます。クライアントが受信するLocation:レスポンスを攻撃者が制御または操作できる場合（自身のエンドポイント、リダイレクトを許す上流、または侵害されたオリジン経由）、ベアラートークンやその他のAuthorization情報がクロスオリジンリクエスト上で攻撃者に渡ってしまう恐れがあります。この問題はteslaのバージョン1.4.0から1.18.3の間に影響を及ぼします。

Elixir Tesla

• Tesla 1.4.0 以上 1.18.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-48595

GitHub

• GitHub : Authorization header leaks on cross-origin redirect via case-sensitive filtering  Advisory  elixir-tesla/tesla  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-48595 - OSV

1. 大文字と小文字の区別の不適切な処理(CWE-178) [その他]

1. CVE-2026-48595

1. National Vulnerability Database (NVD) : CVE-2026-48595
2. 関連文書 : Merge commit from fork  elixir-tesla/tesla@db963db  GitHub

• [2026年08月19日]
    掲載