偵測

未經驗證的 DOM 重新導向

medium Web App Scanning Plugin ID 98103

語系：

概要

未經驗證的 DOM 重新導向

說明

Web 應用程式偶爾會使用 DOM 輸入值來儲存用戶端重新導向目標頁面的位址，例如：`yoursite.com/#/?redirect=www.yoursite.com/404.asp`

如果用戶端能夠修改受影響的參數值並因此控制重新導向的位置，就會發生未經驗證的重新導向。例如，下列 URL「yoursite.com/#/?redirect=www.anothersite.com」會重新導向至「www.anothersite.com」。

網路不法份子會在社交工程攻擊中濫用這些弱點，讓使用者在不知情的情況下造訪惡意網站。

掃描程式發現在將用戶端重新導向至插入值之前，網頁未驗證參數值。

解決方案

應用程式應確保允許所提供的重新導向值。為此，請對參數值執行加入白名單作業。
白名單應包含允許應用程式將使用者重新導向至目標頁面或網站的清單。如果提供的值不符合白名單中的任何值，則伺服器應重新導向至標準錯誤頁面。

Plugin 詳細資訊

嚴重性: Medium

ID: 98103

類型: remote

已發布: 2017/3/31

已更新: 2023/8/29

掃描範本: full, pci, scan

風險資訊

VPR

風險因素: Low

分數: 2.2

CVSS v2

風險因素: Medium

基本分數: 4.3

媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Medium

基本分數: 4.7

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

CVSS 評分資料來源: Tenable

參考資訊