CVE-2026-49456

NiskieCVSS 3.1

Opublikowano: 03/09/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

W frameworku Waku (minimalny framework React) przed wersją 1.0.0-beta.1 funkcja unstable_redirect() z waku/router/server przyjmuje dowolny ciąg znaków i odzwierciedla go bez zmian w nagłówku Location odpowiedzi HTTP, bez walidacji URL, ograniczeń schematu ani wymogu ścieżki. Aplikacje przekazujące dane użytkownika do tej funkcji są podatne na ataki typu open redirect.

Ocena ryzyka

Atakujący może przekierować ofiarę na zewnętrzną domenę, co umożliwia phishing, kradzież poświadczeń i kradzież tokenów OAuth. Ad-hoc filtry oparte na https?:// mogą być ominięte przez adresy względne schematu (//evil.example/).

Rekomendacja

Zaktualizuj Waku do wersji 1.0.0-beta.1 lub nowszej, która zawiera poprawkę. Dodatkowo unikaj przekazywania danych użytkownika do unstable_redirect() bez walidacji.

Inne podatności w Waku

CVE-2026-49455Średnie
W frameworku Waku (minimalny framework React) przed wersją 1.0.0-beta.1, dyspozytor żądań RSC wywołuje akcje serwera bez weryfikacji nagłówka Origin (lub Sec-Fetch-Site). Atakujący z innego originu może spowodować, że przeglądarka ofiary wyśle uwierzytelnione żądanie POST do zarejestrowanego endpointu akcji serwera z typem treści dozwolonym przez CORS (text/plain), co nie wywołuje preflight. Każda akcja serwera zmieniająca stan, wystawiona przez aplikację za pomocą 'use server', może zostać wywołana z ciasteczkami ofiary.

Oryginalny opis (angielski, źródło NVD)

Waku is the minimal React framework. Prior to version 1.0.0-beta.1, the unstable_redirect() helper exported from waku/router/server (packages/waku/src/router/define-router.tsx:156–161) accepts an arbitrary string and reflects it unchanged into the HTTP Location response header with no URL validation, scheme restriction, or path-only enforcement. Any application that passes user-controlled input to this helper — the natural pattern documented in the JSDoc and official fixtures — is vulnerable to open redirect attacks. An attacker who convinces a victim to click a crafted link can silently redirect the browser to an arbitrary external domain, enabling phishing, credential harvesting, and OAuth token theft. Additionally, scheme-relative URLs (//evil.example/) bypass naive https?://-only allow-list filters that developers might add as ad-hoc mitigations. This issue has been patched in version 1.0.0-beta.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS