CVE-2026-49456 in Waku
Riassunto
di VulDB • 04/09/2026
Waku è il framework React minimale. Prima della versione 1.0.0-beta.1, la funzione di aiuto unstable_redirect() esportata da waku/router/server (packages/waku/src/router/define-router.tsx:156–161) accetta una stringa arbitraria e la riflette invariata nell'intestazione HTTP Location senza alcuna validazione dell'URL, restrizione dello schema o imposizione del solo percorso. Qualsiasi applicazione che passa input controllato dall'utente a questa funzione — lo schema naturale documentato nei JSDoc e negli fixture ufficiali — è vulnerabile ad attacchi di open redirect. Un attaccante che convince una vittima a fare clic su un link manipolato può reindirizzare silenziosamente il browser verso un dominio esterno arbitrario, consentendo phishing, raccolta delle credenziali e furto dei token OAuth. Inoltre, gli URL relativi allo schema (//evil.example/) bypassano i filtri allow-list basati solo su https?:// che gli sviluppatori potrebbero aggiungere come mitigazioni ad hoc. Questo problema è stato risolto nella versione 1.0.0-beta.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.