WSO2: redirecionamento aberto permite desviar utilizadores para domínios externos
Componentes afetados da WSO2 aceitam URLs de redirecionamento sem validação, o que permite desviar utilizadores para um domínio controlado pelo atacante, em campanhas de phishing. CVSS 5,4.
- Identificador: CVE-2024-2372
- Publicado em: 2026-11-02
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 5.4 (MEDIUM)
Descrição (texto original em inglês):
The affected components accept user-supplied input for constructing redirection URLs without enforcing expected validation constraints. This allows an attacker to provide a crafted URL that can redirect users to an arbitrary external domain. By leveraging this open redirection vulnerability, an attacker can craft a malicious link that, when clicked by a user, redirects them to an attacker-controlled page. This can be used in conjunction with social engineering techniques to execute phishing attacks, aiming to obtain sensitive information or cause other harm.
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1566.002, Ligação de spearphishing (Spearphishing Link)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (security.docs.wso2.com)security.docs.wso2.com
- Técnica MITRE ATT&CK T1566.002attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.