CVE-2022-25295

Versões do gophish anteriores à 0.12.0

A vulnerabilidade está presente no parâmetro de consulta next, onde o aplicativo utiliza url.Parse(r.FormValue(“next”)) para extrair o caminho e redirecionar o usuário para uma URL relativa. No entanto, se o parâmetro next começar com várias barras invertidas, o navegador redirecionará o usuário para uma URL absoluta, como http://example.com. Isso permite um ataque de redirecionamento aberto.

Para versões anteriores à 0.12.0, atualize para a versão 0.12.0 ou posterior para resolver o problema. Como solução temporária, considere validar o parâmetro next para impedir redirecionamentos para URLs absolutas. Restrinja o acesso ao parâmetro de consulta next para minimizar o risco de exploração. Evite usar o parâmetro next com várias barras invertidas até que o problema seja resolvido.