CVE-2022-0869

Versões do spirit anteriores à 0.12.3

Versões do django-spirit anteriores à 0.12.3

O problema está relacionado a vários redirecionamentos abertos no repositório do GitHub. Especificamente, o endpoint /user/login não verifica o valor do parâmetro next quando o usuário está conectado, passando-o diretamente para o redirecionamento, o que resulta em um redirecionamento aberto. Isso também afeta os endpoints /user/logout, /user/register e /user/resend-activation.

Para versões do spirit anteriores à 0.12.3, atualize para a versão 0.12.3 ou posterior.

Para versões do django-spirit anteriores à 0.12.3, atualize para a versão 0.12.3 ou posterior.

Como solução temporária, considere restringir o acesso aos endpoints vulneráveis, como /user/login, /user/logout, /user/register e /user/resend-activation, até que um patch esteja disponível.

Evite usar o parâmetro next nos endpoints da API afetados até que o problema seja resolvido.