A10: Unvalidated Redirects and Forwards · 2013
Redirecciones controladas por parámetros no validados pueden enviar a la víctima a sitios maliciosos o encadenarse con otros ataques.
Resumen
Redirecciones controladas por parámetros no validados pueden enviar a la víctima a sitios maliciosos o encadenarse con otros ataques.
Cómo funciona el ataque
Un enlace al sitio legítimo contiene un destino externo; la aplicación lo usa sin validarlo y redirige a la persona fuera del sitio.
Ejemplo
Vulnerable · PseudocódigoGET /leave?next=https://other.example
302 Location: https://other.exampleCorrección: Mapear identificadores a destinos permitidos; autorizar también cualquier reenvío interno.
Prevención
- Aceptar solo rutas validadas del mismo origen o un mapeo explícito de destinos; rechazar referencias como //host.
- No construir redirecciones directamente desde entradas del usuario.
- Mostrar confirmación clara cuando sea necesario abandonar el dominio.
Linaje
- 2013 · A10: Unvalidated Redirects and Forwards Sale del Top 10 en 2017