php.redirect-to-request-uri

返回列表 · CWE 索引

phpWARNING规则详情

各语言消息对照

语言消息
de

Die Weiterleitung an die aktuelle Anfrage-URL kann auf eine andere Domain führen, wenn der aktuelle Pfad mit zwei Schrägstrichen beginnt. In https://www.example.com//attacker.com lautet der Wert von REQUEST_URI etwa //attacker.com, und die Weiterleitung dorthin führt auf diese Domain.

en

Redirecting to the current request URL may redirect to another domain, if the current path starts with two slashes. E.g. in https://www.example.com//attacker.com, the value of REQUEST_URI is //attacker.com, and redirecting to it will redirect to that domain.

fr

Rediriger vers l'URL de la requête courante peut rediriger vers un autre domaine si le chemin commence par deux barres obliques : dans https://www.example.com//attacker.com, la valeur de REQUEST_URI est //attacker.com et rediriger vers elle envoie vers ce domaine.

ja

現在のリクエスト URL へリダイレクトする際、現在のパスが二重スラッシュで始まっていると、別のドメインへリダイレクトされるおそれがあります。例:https://www.example.com//attacker.com では REQUEST_URI が //attacker.com となり、ここへリダイレクトすると攻撃者のドメインへ移動してしまいます。

ko

현재 요청 URL로 리다이렉트할 때 현재 경로가 이중 슬래시로 시작하면 다른 도메인으로 리다이렉트될 수 있습니다. 예를 들어 https://www.example.com//attacker.com에서는 REQUEST_URI가 //attacker.com이므로, 여기로 리다이렉트하면 공격자의 도메인으로 이동하게 됩니다.

ru

Перенаправление на текущий URL запроса может увести на другой домен, если текущий путь начинается с двух косых черт: например, в https://www.example.com//attacker.com значение REQUEST_URI равно //attacker.com, и редирект на него отправит на домен атакующего.

zh

重定向到当前请求 URL 时,若当前路径以双斜杠开头,可能重定向到其他域名。例如 https://www.example.com//attacker.com 中 REQUEST_URI 为 //attacker.com,向其重定向就会跳到攻击者域名。

zh-Hant

重新導向到當前請求 URL 時,若當前路徑以雙斜線開頭,可能重新導向到其他網域。例如 https://www.example.com//attacker.com 中 REQUEST_URI 為 //attacker.com,向其重新導向就會跳到攻擊者網域。

CWE 知识卡

语言名称修复建议
deOpen RedirectPrüfen Sie Weiterleitungsziele per Allowlist oder verwenden Sie relative Pfade; vollständige externe URLs werden nicht akzeptiert.
en——
frRedirection d'URL vers un site non fiableValidez les cibles de redirection par liste blanche ou utilisez des chemins relatifs ; n'acceptez pas d'URL externes complètes.
jaオープンリダイレクトリダイレクト先はホワイトリストによる検証または相対パスを使用し、完全な外部 URL は受け入れないでください。
ko오픈 리다이렉트리다이렉트 대상은 허용 목록 검증 또는 상대 경로를 사용하고, 완전한 외부 URL은 허용하지 마십시오.
ruОткрытый редиректЦель перенаправления проверяйте по белому списку или используйте относительные пути; полные внешние URL не принимайте.
zh开放重定向跳转目标使用白名单校验或相对路径,不接受完整外部 URL。
zh-Hant開放重新導向跳轉目標使用白名單驗證或相對路徑,不接受完整外部 URL。

OWASP

A05:2017 - Broken Access ControlA01:2021 - Broken Access Control

元数据

likelihoodMEDIUM
impactLOW
confidenceMEDIUM

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/php/lang/security/redirect-to-request-uri.yaml