CVE-2026-49456 in Waku
Sumário
de VulDB • 04/09/2026
Waku é o framework React mínimo. Antes da versão 1.0.0-beta.1, a função auxiliar unstable_redirect() exportada de waku/router/server (packages/waku/src/router/define-router.tsx:156–161) aceita uma string arbitrária e a reflete inalterada no cabeçalho HTTP Location sem validação de URL, restrição de esquema ou imposição de caminho apenas. Qualquer aplicação que passe entrada controlada pelo usuário para esta função — o padrão natural documentado nos JSDoc e fixtures oficiais — está vulnerável a ataques de redirecionamento aberto (open redirect). Um atacante que convencer uma vítima a clicar em um link manipulado pode silenciosamente redirecionar o navegador para um domínio externo arbitrário, permitindo phishing, coleta de credenciais e roubo de tokens OAuth. Além disso, URLs relativas ao esquema (//evil.example/) contornam filtros allow-list ingênuos que restringem apenas https?://, que os desenvolvedores podem adicionar como mitigações ad-hoc. Este problema foi corrigido na versão 1.0.0-beta.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.