別 realm で作った sensitiveHeaders 配列が無視され、独自の認証ヘッダーがリダイレクト先に送られる

何が起きたか

sensitiveHeaders オプションを instanceof Array で検証していたため、別の JavaScript realm で作られた配列が空の一覧に置き換えられます。その結果、そこに指定した独自の認証ヘッダーが、攻撃者が用意した別オリジンへのリダイレクト先に送られることがあります。Authorization、Proxy-Authorization、Cookie の標準の保護は有効なままです。