开放重定向

本身危害有限，但和 OAuth 组合后常常升级为账户接管。

影响

把用户引导到钓鱼页面，或在 OAuth 流程中泄露授权码

观察点

浏览器被跳转到攻击者控制的域名

修复

对跳转目标使用白名单，仅允许相对路径，并对 OAuth redirect_uri 做精确匹配。

弱点分布

• 开放重定向344
• Unlabeled29
• 违反安全设计原则（按标题归类）17

共现类别

暂无共现数据。

高票报告

当前状态 390 份 · 全部 390 · 筛选赏金 $37,714

1. 248
   XSS and Open Redirect on MoPub LoginX / xAI · 2019-09-25 · 未评级
   $1,540开放重定向
2. 225
   Open Redirect in secure.showmax.comShowmax · — · 未评级
   $550开放重定向
3. 188
   [PayPal Android] Remote theft of user session using push_notification_webview deeplinkPayPal · 2019-02-08 · 中危
   $0开放重定向
4. 179
   Open redirect at https://inventory.upserve.com/http://google.com/Upserve · 2019-06-07 · 中危
   $1,200开放重定向
5. 171
   Open Redirect in Logout & LoginExpedia Group Bug Bounty · 2023-03-03 · 中危
   $0开放重定向
6. 151
   [Venmo Android] Remote theft of user sessionPayPal · 2019-02-08 · 中危
   $0开放重定向
7. 148
   Open redirect due to scanning QR code via brave browserBrave Software · 2023-06-08 · 高危
   $0开放重定向
8. 143
   Open redirectXVIDEOS · 2025-02-06 · 低危
   $0开放重定向
9. 120
   Stealing xoxs-tokens using weak postMessage / call-popup redirect to current team domainSlack · 2017-03-01 · 未评级
   $0违反安全设计原则（按标题归类）
10. 102
    Open URL RedirectionUnikrn · 2021-06-28 · 中危
    $0开放重定向
11. 91
    Confirmed #2118458: Intentional redirect from www.hackerone.com to domain which is up for saleHackerOne · 2024-05-10 · 低危
    $0Unlabeled
12. 83
    Open redirect vulnerabilityRockstar Games · 2019-04-04 · 低危
    $250开放重定向
13. 81
    Open redirectNord Security · — · 未评级
    $0开放重定向
14. 79
    OAuth redirect uri validation bypass for :proxima_first_party_sync appsGitHub · 2026-07-22 · 高危
    $0开放重定向
15. 77
    another liberapay member team twitter account broken Link Hijacking via Expired Twitter Account LinkLiberapay · 2026-05-09 · 低危
    $0开放重定向
16. 75
    [dev.twitter.com] XSS and Open RedirectX / xAI · 2017-09-30 · 中危
    $1,120Unlabeled
17. 74
    Bypass of Open Redirect Fix on lovable.dev via /..// Path Traversal in redirect parameterLovable VDP · 2026-03-12 · 中危
    $0开放重定向
18. 74
    Open Redirect on ███████Fastly VDP · 2025-05-03 · 低危
    $0开放重定向
19. 74
    Open RedirectAffirm · 2021-08-31 · 低危
    $250开放重定向
20. 73
    open redirected by host headerLocalize · 2024-12-02 · 未评级
    $0开放重定向
21. 72
    Open RedirectOmise · 2019-03-25 · 低危
    $100开放重定向
22. 72
    Identity Login Page Redirect Can Be ManipulatedInflection · 2017-10-14 · 高危
    $0开放重定向
23. 71
    Possible to redirect to a (non-existing) subdomain after logging in via GitHub (leaking the token)Ed · 2017-11-26 · 高危
    $0开放重定向
24. 70
    Open Redirect Vulnerability in OAuth Flow Leading to Potential Phishing AttackLichess · 2025-05-15 · 低危
    $0开放重定向
25. 70
    Host Header InjectionNew Relic · — · 未评级
    $0开放重定向