CVE-2026-33506

DOM-Based XSS in Ory Polis Login Page

CVSS 8.8 HIGHEPSS 0.4%CWE-601 CWE-87

En resumen

La página de inicio de sesión de Ory Polis tiene una falla de seguridad donde los atacantes pueden inyectar enlaces maliciosos que redirigen a los usuarios y ejecutan código dañino en su navegador. Si un usuario hace clic en el enlace, sus credenciales de inicio de sesión o información sensible pueden ser robadas.

Detalle técnico

Vulnerabilidad XSS basada en DOM en Ory Polis (anterior a la versión 26.2.0) a través del parámetro de URL `callbackUrl` sin sanitizar pasado a `router.push`, permitiendo que un atacante cree enlaces maliciosos que ejecuten JavaScript arbitrario en el navegador de usuarios autenticados o en autenticación posterior, permitiendo robo de credenciales y secuestro de sesión. El ataque requiere interacción del usuario (clic en un enlace crafted) pero sin autenticación previa del atacante.

Resumen generado y traducido por IA a partir de la descripción oficial.

Ory Polis, formerly known as BoxyHQ Jackson, bridges or proxies a SAML login flow to OAuth 2.0 or OpenID Connect. Versions prior to 26.2.0 contain a DOM-based Cross-Site Scripting (XSS) vulnerability in Ory Polis's login functionality. The application improperly trusts a URL parameter (`callbackUrl`), which is passed to `router.push`. An attacker can craft a malicious link that, when opened by an authenticated user (or an unauthenticated user that later logs in), performs a client-side redirect and executes arbitrary JavaScript in the context of their browser. This could lead to credential theft, internal network pivoting, and unauthorized actions performed on behalf of the victim. Version 26.2.0 contains a patch for the issue.

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:L

Productos afectados

ory · polis

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://github.com/ory/polis/releases/tag/v26.2.0 https://github.com/ory/polis/security/advisories/GHSA-3wjr-6gw8-9j22