Açık yönlendirme (ARCH2122)

Anahtar python.security.open-redirect · Önem warning · Kategori security · CWE CWE-601

Yönlendirme hedefini kullanıcı girdisinden doğrulamadan almak, saldırganların güvenilir alan adı üzerinden kimlik avı (phishing) saldırısı yapmasına olanak tanır.

Hatalı

from flask import request, redirect

def go():
    return redirect(request.args["next"])

Doğru

from urllib.parse import urlparse
from flask import request, redirect

def go():
    target = request.args["next"]
    if urlparse(target).netloc:
        return redirect("/")
    return redirect(target)

Düzeltme

Yönlendirme hedeflerini yalnızca göreli yollarla veya bir izin listesiyle sınırlandırın.