CVE-2024-12141
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le logiciel concerné ne valide pas correctement les URL de rappel (callback URLs), souvent en raison d'expressions régulières insuffisantes ou de l'absence de vérifications. Cela se produit dans les produits qui utilisent ces URL pour rediriger les utilisateurs vers une page spécifique après l'exécution d'une action. Un attaquant peut manipuler ces URL pour qu'elles pointent vers une destination externe malveillante au lieu de la page interne prévue.
Un attaquant peut exploiter cette faille pour mener des attaques de phishing en incitant un utilisateur à cliquer sur un lien spécialement conçu. Bien que cela ne donne pas d'accès direct à votre serveur, cela permet à l'attaquant de voler des informations utilisateur sensibles en redirigeant la victime vers une fausse page de connexion. Cela nécessite un accès réseau et une interaction de l'utilisateur, mais aucune authentification préalable ni privilège particulier n'est requis pour exécuter la redirection.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The product fails to sufficiently validate callback URLs, allowing them to be manipulated with malicious payloads when processed through a weak regular expression or when validation is omitted. An attacker can exploit this by crafting a link that appears legitimate but redirects users to an attacker-controlled page. This redirection facilitates phishing attacks, enabling the harvesting of sensitive user information, potentially leading to unauthorized access or data theft.