.werks/3970

   1 Title: Fixed possible URL injection on index page
   2 Level: 1
   3 Component: multisite
   4 Class: security
   5 Compatible: compat
   6 State: unknown
   7 Version: 1.4.0i2
   8 Date: 1477295864
   9
  10 Till this version it was possible to inject authenticated users external URLs
  11 as start URLs for their GUI.
  12
  13 An attacker could use this to make an authenticated GUI user open a page of his
  14 choice when the user clicks on a prepared link.
  15
  16 One example URL which could be used: <tt>index.py?start_url=//heise.de</tt>
  17
  18 Thanks to Marcel Bilal for reporting the issue!