Apache Shiro’s Jakarta EE module used the HTTP Referer header in certain cases to issue redirect after a user login.
In affected versions, insufficient validation of this client-controlled value could allow an attacker to influence the redirect target in applications using the Jakarta EE module.
This issue affects Apache Shiro from 2.0-alpha to 2.2.0, and 3.0.0-alpha-1, only when using shiro-jakarta-ee integration module.
Apache Shiro's Jakarta EE module improperly validates the HTTP Referer header when redirecting users after login, allowing attackers to redirect users to malicious sites. This open redirect vulnerability affects Shiro versions 2.0-alpha through 2.2.0 and 3.0.0-alpha-1 when using the Jakarta EE integration module.
تحتوي وحدة Jakarta EE في Apache Shiro على ثغرة إعادة توجيه مفتوحة حيث يتم استخدام رأس HTTP Referer الذي يتحكم به العميل لتحديد هدف إعادة التوجيه بعد تسجيل الدخول دون التحقق الكافي. يمكن للمهاجمين استغلال هذه الثغرة لإعادة توجيه المستخدمين إلى مواقع ويب ضارة أو خادعة. تؤثر هذه المشكلة على الإصدارات من 2.0-alpha إلى 2.2.0 و3.0.0-alpha-1 عند استخدام وحدة التكامل Jakarta EE.
Apache Shiro's Jakarta EE module improperly validates the HTTP Referer header when redirecting users after login, allowing attackers to redirect users to malicious sites. This open redirect vulnerability affects Shiro versions 2.0-alpha through 2.2.0 and 3.0.0-alpha-1 when using the Jakarta EE integration module.
Upgrade Apache Shiro to version 2.2.1 or later, or 3.0.0 or later if using version 3.x. Implement strict validation of redirect targets by using allowlist-based URL validation. Disable or restrict the use of the Referer header for redirect decisions. Apply Web Application Firewall rules to detect and block open redirect attempts.
قم بترقية Apache Shiro إلى الإصدار 2.2.1 أو أحدث، أو 3.0.0 أو أحدث إذا كنت تستخدم الإصدار 3.x. قم بتطبيق التحقق الصارم من أهداف إعادة التوجيه باستخدام التحقق من قائمة بيضاء. قم بتعطيل أو تقييد استخدام رأس Referer لقرارات إعادة التوجيه. طبق قواعد جدار الحماية لتطبيقات الويب لكشف ومنع محاولات إعادة التوجيه المفتوحة.