Açık yönlendirme (ARCH6122)

Anahtar ruby.security.open-redirect · Önem warning · Kategori security · CWE CWE-601

Yönlendirme hedefini güvenilmeyen girdiden doğrulamadan almak, saldırganların güvenilen alan adı üzerinden kullanıcıları kötü amaçlı sitelere yönlendirerek kimlik avı yapmasına olanak tanır.

Hatalı

def login
  redirect_to params[:return_to]
end

Doğru

def login
  redirect_to params[:return_to], allow_other_host: false
end

Düzeltme

Yalnızca göreli yollara veya bir izin listesindeki kökenlere yönlendirin; harici hedeflere izin vermeyin.