CVE-2026-49456 in Waku
要約
〜によって VulDB • 2026年09月03日
Wakuは最小限のReactフレームワークです。バージョン1.0.0-beta.1より前では、waku/router/server（packages/waku/src/router/define-router.tsx:156–161）からエクスポートされる不安定な`unstable_redirect()`ヘルパーが任意の文字列を受け取り、URL検証やスキーマ制限、パスのみへの強制を行わずに、HTTP Location応答ヘッダーに変更せずにそのまま反映します。JSDocおよび公式フィクスチャで文書化されている自然なパターンであるように、ユーザー制御の入力をこのヘルパーに渡すあらゆるアプリケーションは、オープンリダイレクト攻撃に対して脆弱です。攻撃者が被害者をだまして作成されたリンクをクリックさせることで、ブラウザを任意の外部ドメインに静かにリダイレクトし、フィッシング、資格情報収集、OAuthトークンの盗難を可能にします。さらに、スキーマ相対URL（//evil.example/）は、開発者がアドホックな緩和策として追加する可能性のある単純なhttps?://-のみ許可リストフィルタを回避します。この問題はバージョン1.0.0-beta.1でパッチが当てられました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.