CVE-2022-26954

Versões do NopCommerce 4.10 a 4.50.1

A vulnerabilidade permite que invasores remotos realizem ataques de phishing redirecionando usuários para sites controlados por eles por meio do parâmetro returnUrl. Esse parâmetro é processado por várias funções, incluindo a função ChangePassword, a função SignInCustomerAsync, o método SuccessfulAuthentication ou a classe NopRedirectResultExecutor.

Para as versões 4.10 a 4.50.1 do NopCommerce, considere desativar o parâmetro returnUrl nas funções afetadas até que uma correção esteja disponível.

Restrinja o acesso à função ChangePassword, à função SignInCustomerAsync, ao método SuccessfulAuthentication e à classe NopRedirectResultExecutor para minimizar o risco de exploração.

Evite usar o parâmetro returnUrl nos pontos de extremidade da API afetados até que o problema seja resolvido.