CVE-2026-85676

ŚrednieCVSS 4.3

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Dub zawiera podatność otwartego przekierowania w parametrze zapytania redir_url, który jest akceptowany na każdym krótkim linku bez walidacji lub listy dozwolonych domen. Atakujący mogą dodać parametr redir_url do dowolnego krótkiego linku, aby przekierować odwiedzających na dowolne zewnętrzne adresy URL przez zaufaną domenę Dub, omijając czarne listy docelowe i potencjalnie umożliwiając ataki phishingowe z włączonym maskowaniem linków.

Ocena ryzyka

Ryzyko dla organizacji obejmuje wykorzystanie zaufanej domeny Dub do phishingu, co może prowadzić do kradzieży danych uwierzytelniających lub instalacji złośliwego oprogramowania u użytkowników końcowych.

Rekomendacja

Zaleca się natychmiastowe wdrożenie walidacji parametru redir_url, w tym listy dozwolonych domen, oraz aktualizację do wersji, która usuwa tę podatność.

Inne podatności w Dub

CVE-2026-72552Wysokie
Podatność typu server-side request forgery w Dub (stan na 2026-07-10) pozwala nieuwierzytelnionym zdalnym atakującym na zmuszenie serwera do wysyłania żądań HTTP do dowolnych wewnętrznych lub zewnętrznych hostów przez endpoint metatags edge. Endpoint pobiera dowolny URL podany przez wywołującego bez listy zablokowanych i bez wymogu uwierzytelnienia. Atakujący może użyć tego do skanowania wewnętrznych usług lub eksfiltracji danych z endpointów metadanych chmury.

Oryginalny opis (angielski, źródło NVD)

Dub contains an open redirect vulnerability in the redir_url query parameter that is accepted on every short link without validation or domain allowlist enforcement. Attackers can append the redir_url parameter to any short link to redirect visitors to arbitrary external URLs through the trusted Dub domain, bypassing destination blacklists and potentially enabling phishing attacks with link cloaking enabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS