关键漏洞信息摘要 漏洞名称 Open Redirect via Host Header Injection in HTTP-to-HTTPS redirect 影响版本 受影响版本: >= 0.2.1, https://attacker.com/login 4. 受害者被重定向到攻击者控制的网站。 影响 钓鱼: 攻击者可利用受信域名链接将受害者重定向至凭证收集页面。 OAuth/SSO令牌盗窃: 在认证流程中，授权码或令牌可能通过重定向泄露。 引用泄漏: 敏感URL参数可能通过Referer头部暴露给攻击者域。 缓存中毒: 在部署共享缓存时，恶意重定向可能被缓存并服务给其他用户。 可利用性 CVSS评分6.1（中等），利用条件是HTTP流量未通过TLS终止设置为 的情况下到达Node.js应用，而在现代反向代理或负载均衡器后的生产部署中这种情况较为少见，限制了实际可利用性。 修复建议 升级到版本1.0.0以移除易受攻击的重定向行为。 临时解决方案 如果不能立即升级： 1. 在网络/负载均衡器级别阻止HTTP流量。 2. 确保反向代理始终设置 。 3. 在 前添加中间件，以针对允许列表验证 头部。