漏洞概述

CVE ID: CVE-2025-65581 GHSA ID: GHSA-vfm5-cr22-jg3m 漏洞类型: 开放重定向 (Open Redirect) 严重等级: 中危 (CVSS 5.3)

受影响范围

受影响的软件包: nuget 上的 Volo.Abp.Account.Web 受影响的版本: >= 5.1.0, < 10.0.0-rc.2 已修复的版本: 10.0.0-rc.2

漏洞详情

Volosoft ABP 框架的账户模块存在一个开放重定向漏洞。该漏洞源于注册功能中对 returnUrl 参数验证不当，攻击者可利用此漏洞将用户重定向到任意外部域名。

技术背景与弱点

相关弱点 (CWE):

• CWE-20: 输入验证不当
  • 产品接收输入或数据，但未验证或未正确验证该输入是否具备安全、正确处理数据所需的属性。
• CWE-601: 重定向到不受信任的站点 (开放重定向)
  • Web应用程序接受用户控制的、指向外部站点的链接输入，并在重定向中使用该链接。

CVSS v3.1 评分详情

基础向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

• 攻击向量 (AV): 网络
• 攻击复杂度 (AC): 低
• 所需权限 (PR): 无
• 用户交互 (UI): 无
• 影响范围 (S): 未改变
• 机密性影响 (C): 无
• 完整性影响 (I): 无
• 可用性影响 (A): 低

参考信息

1. NVD漏洞详情
2. 修复提交:
   • abpframework/abp@44a2dc1
   • abpframework/abp@a01adc5

其他信息

• EPSS评分: 0.052% (第16百分位)，此分数估计了该漏洞在未来30天内被利用的概率。
• 发布时间: 2025年12月16日 发布至 GitHub Advisory Database。
• 审查状态: GitHub 已审查。