Open redirect (ARCH334)

Anahtar dotnet.security.open-redirect · Önem warning · Kategori security · CWE CWE-601

Kullanıcı tarafından sağlanan bir URL’ye doğrulamadan yönlendirme yapmak, saldırganların kullanıcıları kötü amaçlı sitelere yönlendirerek kimlik avı (phishing) saldırıları düzenlemesine olanak tanır.

Hatalı

public IActionResult Login(string returnUrl)
{
    return Redirect(returnUrl);
}

Doğru

public IActionResult Login(string returnUrl)
{
    if (!Url.IsLocalUrl(returnUrl))
        return RedirectToAction("Index", "Home");

    return LocalRedirect(returnUrl);
}

Düzeltme

Yönlendirme hedeflerini Url.IsLocalUrl ile doğrulayın veya bir izin listesi kullanın; mümkünse LocalRedirect tercih edin.