Сброс пароля: агент делает redirect на next= без проверки

Open redirect + фишинг. Allowlist внутренних путей.

next только относительный свой path.

Как

Whitelist. Не //evil.com.

Тест

next=https://evil — игнор.

См. также: ревью.

Мы используем файлы cookie для того, чтобы предоставить пользователям больше возможностей при посещении сайта. Оставаясь на сайте, Вы соглашаетесь на обработку файлов cookie. Подробнее об условиях использования.