CVE-2026-49456 in Waku
الملخص
بحسب VulDB • 04/09/2026
Waku هو إطار عمل React الحد الأدنى. قبل الإصدار 1.0.0-beta.1، تقبل الدالة المساعدة unstable_redirect() المستوردة من waku/router/server (packages/waku/src/router/define-router.tsx:156–161) أي سلسلة نصية وتعكسها دون تغيير في رأس استجابة HTTP Location بدون التحقق من صحة عنوان URL أو فرض قيود على المخطط أو تقييد المسار فقط. أي تطبيق يمرر مدخلاً يتحكم فيه المستخدم إلى هذه الدالة المساعدة — وهو النمط الطبيعي المذكور في وثائق JSDoc والنماذج الرسمية — يكون عرضة لهجمات إعادة التوجيه المفتوحة (Open Redirect). يمكن لمهاجم يقنع ضحية بالنقر على رابط مُعدّ خصيصاً أن يعيد توجيه المتصفح بصمت إلى نطاق خارجي عشوائي، مما يتيح هجمات التصيد الاحتيالي (Phishing)، وسرقة بيانات الاعتماد، واختراق رموز OAuth. بالإضافة إلى ذلك، تتجاوز عناوين URL النسبية للمخطط (//evil.example/) قوائم السماح البسيطة التي تقتصر على https?:// والتي قد يضيفها المطورون كإجراءات تخفيف مؤقتة. تم إصلاح هذه المشكلة في الإصدار 1.0.0-beta.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.