Open Redirect in Next.js

O Next.js versões 9.5.0 até 9.5.3 tem uma falha que permite que atacantes redirecionem usuários para sites externos usando caminhos de URL especialmente codificados. Embora o redirecionamento em si não cause dano direto, pode ser usado para ataques de phishing enganando usuários para visitar sites maliciosos.

Existe uma vulnerabilidade de redirecionamento aberto no tratamento do redirecionamento com barra final do Next.js onde caminhos especialmente codificados contornam validações e redirecionam para domínios externos controlados pelo atacante. O ataque requer apenas uma URL manipulada e afeta versões 9.5.0 até 9.5.3, possibilitando roubo de credenciais e campanhas de phishing através de redirecionamentos de domínios confiáveis.