Open redirect door on onvervangen route-parameters in @adonisjs/http-server (CVE-2026-107718)

Wat er gebeurde

De createURL()-helper (gebruikt door Router.makeUrl() en Response.redirect().toRoute()) voegde route-parameterwaarden toe aan URL's zonder encodeURIComponent te gebruiken. Als een applicatie een door een aanvaller gecontroleerd waarde in het dynamische eerste padsegment plaatst en daarna naar de gegenereerde route-URL redirect, kan een waarde die met '/' begint leiden tot een externe redirect. Wildcard-parameters worden ook beïnvloed; API's die opzettelijk volledige redirect-URL's accepteren zijn niet getroffen.

Technische oorzaak

De oorzaak is het ontbreken van URL-encoding van route-parameterwaarden in de gedeelde createURL()-helper. Doordat encodeURIComponent niet werd aangeroepen konden ruwe parameterwaarden (inclusief een leidende '/') ongewijzigd in de URL terechtkomen en zo externe redirect-doelen creëren.

Waarom dit belangrijk is

Als een aanvaller een dynamisch eerste padsegment kan beïnvloeden, kan dat ervoor zorgen dat gebruikers van een vertrouwde site worden doorgestuurd naar een door de aanvaller gecontroleerde site. Dit vergroot het risico op phishing en misbruik van authenticatie- of OAuth-stromen. De classificatie is CWE-601 (Open Redirect).

Wie is getroffen

Applicaties die @adonisjs/http-server gebruiken en onbetrouwbare waarden in een dynamisch eerste padsegment plaatsen om gegenereerde redirect-URL's te vormen lopen risico. De advisering vermeldt twee getroffen ranges: geïntroduceerd bij "0" en gefixt in "8.2.3", en geïntroduceerd bij "9.0.0" en gefixt in "9.3.0"—zie hieronder voor details.

Ontdekking en tijdlijn

De kwetsbaarheid is gepubliceerd in de OSV- en NVD-registraties op 2026-10-08 en de advisering is bijgewerkt op 2026-10-09.

Getroffen versies

Er worden twee getroffen ranges gerapporteerd voor @adonisjs/http-server: geïntroduceerd bij "0" en gefixt in "8.2.3"; en geïntroduceerd bij "9.0.0" en gefixt in "9.3.0". Controleer welke range op uw installatie van toepassing is.

Oplossingen en mitigatie

De leverancier heeft fixes uitgebracht: de fout is opgelost in "8.2.3" en in "9.3.0" voor de respectieve ranges. De advisering meldt dat een fix beschikbaar is.

Aanbevolen actie

Werk @adonisjs/http-server bij naar de door de leverancier gefixeerde release die voor uw omgeving geldt ("8.2.3" of "9.3.0"). Als directe update niet mogelijk is, vermijd het plaatsen van onbetrouwbare waarden in het dynamische eerste padsegment dat voor redirects wordt gebruikt en zorg dat route-parameters worden gevalideerd of geëncodeerd voordat ze in URL's worden opgenomen.