오픈 리다이렉트

위험도: 중간 CWE-601 OWASP A01:2021 Broken Access Control rule: redirect

왜 위험한가요

공격자가 믿을 수 있는 우리 도메인 링크를 보내, 클릭한 방문자를 피싱 페이지로 보낼 수 있습니다.

✕ 취약한 코드

header('Location: ' . $_GET['next']);

✓ 안전한 코드

$next = $_GET['next'] ?? '/';
if (!str_starts_with($next, '/') || str_starts_with($next, '//')) {
    $next = '/';
}
header('Location: ' . $next);

내 사이트 경로나 허용된 주소 목록으로만 이동시키세요.

내 코드 검사하기

파일을 붙여넣으면 이 규칙에 걸리는 줄을 모두 찾아드립니다.