CVE-2024-2372
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Certains composants logiciels ne valident pas correctement les données saisies par l'utilisateur et utilisées pour construire des URL de redirection. Cette faille permet à un utilisateur de fournir une URL spécifiquement conçue que l'application traite ensuite sans vérifier si la destination est fiable. Par conséquent, le système redirige aveuglément l'utilisateur vers un domaine externe choisi par l'attaquant.
Un attaquant peut utiliser ce mécanisme pour faciliter des attaques de phishing en faisant apparaître un lien malveillant comme s'il provenait d'une source fiable, compromettant potentiellement la confidentialité et l'intégrité des données de l'utilisateur. L'exploitation est relativement simple et nécessite uniquement un accès réseau ainsi qu'une interaction de la victime, comme le clic sur un lien. Aucune authentification ni privilège particulier n'est requis pour déclencher la redirection.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The affected components accept user-supplied input for constructing redirection URLs without enforcing expected validation constraints. This allows an attacker to provide a crafted URL that can redirect users to an arbitrary external domain. By leveraging this open redirection vulnerability, an attacker can craft a malicious link that, when clicked by a user, redirects them to an attacker-controlled page. This can be used in conjunction with social engineering techniques to execute phishing attacks, aiming to obtain sensitive information or cause other harm.