Weaknesses of type CWE-601

1,291 results

Redirecionamento aberto para site não confiável

É quando uma aplicação redireciona o usuário para uma URL fornecida por ele (ou por um atacante) sem validação prévia. O navegador segue o redirecionamento automaticamente, levando a vítima para um site malicioso que pode clonar a interface legítima para roubar credenciais ou distribuir malware, com aparência de vir de um domínio confiável.

Example

Um link do tipo `https://banco.com/redirect?url=https://banco-falso.com` recebe a URL de destino como parâmetro e redireciona direto sem checagem. Atacante envia `https://banco.com/redirect?url=https://phishing.com` em email, e a vítima clica pensando estar acessando o banco.

How to mitigate

Valide sempre a URL de destino contra uma lista branca de domínios permitidos ou use URLs relativas. Se aceitar redirecionamentos dinâmicos, verifique que o host pertence ao seu domínio ou a uma lista explícita de parceiros confiáveis.

CVE-2022-46683MEDIUMJenkins Google Login Plugin 1.4 through 1.6 (both inclusive) improperly determines that a redirect URL after login is legitimately pointing EPSS 0.6%CVE-2017-20164MEDIUMSymbiote Seed Login SecurityLoginExtension.php onBeforeSecurityLogin redirectEPSS 0.6%CVE-2022-30992—Open redirect via user-controlled query parameterEPSS 0.6%CVE-2024-24034MEDIUMSetor Informatica S.I.L version 3.0 is vulnerable to Open Redirect via the hprinter parameter, allows remote attackers to execute arbitrary EPSS 0.6%CVE-2026-77386MEDIUMKyoo: OIDC login token can be redirected to an attacker-controlled URLEPSS 0.6%CVE-2026-55185MEDIUMMiniflux 2: Open Redirect BypassEPSS 0.6%CVE-2026-78145MEDIUMCTFd __init__.py _is_safe_url redirectEPSS 0.6%CVE-2023-49281MEDIUMOpen Redirect in Login Function of CalendarinhoEPSS 0.6%CVE-2026-52802MEDIUMGogs: Open Redirect via redirect_to in GogsEPSS 0.6%CVE-2026-81029HIGHOpenMetadata before 2.0.0 JWT Disclosure via Unvalidated SAML and OIDC Redirect URIEPSS 0.6%CVE-2015-10104LOWIcons for Features Plugin class-icons-for-features-admin.php redirectEPSS 0.6%CVE-2024-5492MEDIUMOpen redirect vulnerability allows a remote unauthenticated attacker to redirect users to arbitrary websitesEPSS 0.6%CVE-2024-2465HIGHOpen redirection in CDeXEPSS 0.5%CVE-2022-31735—OpenAM Consortium Edition version 14.0.0 provided by OpenAM Consortium contains an open redirect vulnerability (CWE-601). When accessing an EPSS 0.5%CVE-2022-3797MEDIUMeolinker apinto-dashboard login redirectEPSS 0.5%CVE-2024-24808MEDIUMpyLoad open redirect vulnerability due to improper validation of the is_safe_url functionEPSS 0.5%CVE-2025-55166MEDIUMsvg-sanitizer By-Passing Attribute SanitizationEPSS 0.5%CVE-2022-27547MEDIUMHCL iNotes is susceptible to a link to non-existent domain vulnerability.EPSS 0.5%CVE-2026-54588CRITICALPoweradmin has Host Header Injection in OIDC redirect_uri, SAML ACS/SLO URL, and Logout Redirect Construction.EPSS 0.5%CVE-2026-67362MEDIUMJoomla Extension - j2commerce.com - Open redirect in cart controller in J2Store 1.0.0-3.3.20, 4.0.0-4.0.20, 4.1.0-4.1.5EPSS 0.5%