Vue-router 上基于 DOM 的开放重定向漏洞

Question

我有一个使用 Vue-cli 启动的 vue 应用程序。
Vue 版本：2.6.11
vue-router 版本：3.2.0

复制链接
https://github.com/keyhangholami/dom-based-open-redirect

重现步骤
在 URL 中放置 3 个或更多正斜杠 + 任意 URL 和用斜杠格式化的日期（例如http://www.localhost:3000///google.com?dob=11/10/1987并点击Enter.

预期行为
当 URL 无效时（包含 3 个或 3 个以上斜杠 + 日期等），请参阅 404 页面。

到底发生了什么？
即使我没有任何重定向规则并且我有以下路由重定向到 404，应用程序也会重定向到 Google（或任何任意 URL），包括所有查询参数：

{ path: '*', name: '404-page', component: Page404, props: false }

Answer 1

我也有同样的问题。我更新为：

vue 2.6.14

vue-路由器 3.5.3

vue-模板编译器 2.6.14

这解决了问题。