Vue-router 上基於 DOM 的開放重定向漏洞

Question

我有一個使用 Vue-cli 啟動的 Vue 應用程序。
Vue版本： 2.6.11
Vue路由器版本： 3.2.0

復制鏈接
https://github.com/keyhangholami/dom-based-open-redirect

重現步驟
Put 3 or more forwarding slashes in the URL + an arbitrary URL and a date formatted with slashes (eg http://www.localhost:3000///google.com?dob=11/10/1987 and hit Enter .

預期行為
當 URL 無效時（包括 3 個或超過 3 個斜杠 + 日期），請參閱 404 頁面。

究竟發生了什么？
該應用程序被重定向到谷歌（或任何任意 URL），包括所有查詢參數，即使我沒有任何重定向規則並且我有以下路由重定向到 404：

{ path: '*', name: '404-page', component: Page404, props: false }

Answer 1

我有同樣的問題。 我更新為：

Vue 2.6.14

Vue路由器3.5.3

vue 模板編譯器 2.6.14

這解決了這個問題。