Vue-router 上基于 DOM 的开放重定向漏洞

Question

我有一个使用 Vue-cli 启动的 Vue 应用程序。
Vue版本： 2.6.11
Vue路由器版本： 3.2.0

复制链接
https://github.com/keyhangholami/dom-based-open-redirect

重现步骤
Put 3 or more forwarding slashes in the URL + an arbitrary URL and a date formatted with slashes (eg http://www.localhost:3000///google.com?dob=11/10/1987 and hit Enter .

预期行为
当 URL 无效时（包括 3 个或超过 3 个斜杠 + 日期），请参阅 404 页面。

究竟发生了什么？
该应用程序被重定向到谷歌（或任何任意 URL），包括所有查询参数，即使我没有任何重定向规则并且我有以下路由重定向到 404：

{ path: '*', name: '404-page', component: Page404, props: false }

Answer 1

我有同样的问题。 我更新为：

Vue 2.6.14

Vue路由器3.5.3

vue 模板编译器 2.6.14

这解决了这个问题。