ओरी पोलिस लॉगिन पेज में DOM-आधारित XSS

CVE-2026-33506 Ory Polis (पूर्व में BoxyHQ Jackson) के 26.2.0 से पहले के संस्करणों को प्रभावित करता है। यह DOM-आधारित क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता लॉगिन कार्यक्षमता के भीतर मौजूद है। एप्लिकेशन router.push को पारित URL पैरामीटर (callbackUrl) पर गलत तरीके से भरोसा करता है। एक हमलावर एक दुर्भावनापूर्ण लिंक बना सकता है जिसे प्रमाणित उपयोगकर्ता (या बाद में लॉग इन करने वाला गैर-प्रमाणित उपयोगकर्ता) खोलने पर, क्लाइंट-साइड रीडायरेक्ट निष्पादित किया जाएगा। यह उपयोगकर्ता के ब्राउज़र संदर्भ में दुर्भावनापूर्ण JavaScript कोड को निष्पादित करने की अनुमति दे सकता है, जिससे संभावित रूप से संवेदनशील जानकारी से समझौता हो सकता है या उपयोगकर्ता की ओर से कार्रवाई की जा सकती है। प्रमाणीकरण सुरक्षा के लिए महत्वपूर्ण वातावरण में, जोखिम अधिक है।

1. आरक्षित2026-03-20
2. प्रकाशित2026-03-26
3. EPSS अद्यतन2026-04-03

CVE-2026-33506 को कम करने का समाधान Ory Polis को संस्करण 26.2.0 या उच्चतर में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो callbackUrl पैरामीटर को मान्य और सैनिटाइज करता है, जिससे दुर्भावनापूर्ण कोड इंजेक्शन को रोका जा सकता है। इसके अतिरिक्त, अपने एप्लिकेशन की सुरक्षा कॉन्फ़िगरेशन की समीक्षा करें और सुनिश्चित करें कि इनपुट सत्यापन और XSS रोकथाम के लिए सर्वोत्तम अभ्यास लागू किए गए हैं। संदिग्ध गतिविधि के लिए एप्लिकेशन लॉग की निगरानी भी संभावित हमलों का पता लगाने और प्रतिक्रिया देने में मदद कर सकती है। कंटेंट सिक्योरिटी पॉलिसी (CSP) को लागू करने से XSS हमलों के खिलाफ एक अतिरिक्त रक्षा परत प्रदान की जा सकती है।