远程主机上安装的 perl-HTTP-Tiny 版本低于 0.033-3。因此，它受到 ALAS2-2026-3986 公告中提及的一个漏洞影响。

    Perl 0.095 之前的 HTTP：：Tiny 版本会让将凭据标头转发至跨源重定向目标。

    当服务器返回 3xx 重定向时，“_maybe_redirect”位于“Location：”标头后面，“_prepare_headers_and_cb”将调用程序的“headers”参数重新合并到新请求中，而不检查重定向目标是否与原始 URL 共享源。因此，调用程序提供的“Authorization”、“Cookie”和“Proxy-Authorization”头会跨方案、主机或端口边界，并跨方案、主机或端口边界，包括“https”到“http”降级，从而在线路上以明文形式暴露它们，将其重新发送到重定向名称的任何主机。

    HTTP：：Tiny POD 请注意，授权标头将不会包含在仅应用到 URL-userinfo Basic-auth 路径，而不应用到调用程序明确传递的标头的重定向请求中。（CVE-2026-7017）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：perl-HTTP-Tiny (ALAS-2026-3986)

high Nessus 插件 ID 365180

版本 1.1