Open Redirect в Optimal IdM OptimalCloud — CVE-2026-113384

В компоненте OptimalCloud от компании Optimal IdM выявлена уязвимость, связанная с небезопасной обработкой параметров перенаправления. Проблема получила идентификатор CVE-2026-113384 и затрагивает версию продукта 5.0. Несмотря на то что уязвимость эксплуатируется удалённо, для успешной атаки злоумышленнику требуется взаимодействие со стороны пользователя.

Подробности

Уязвимость локализована в обработчике /v5.0/social продукта Optimal IdM OptimalCloud 5.0. При манипуляции аргументом state приложение может выполнить перенаправление на внешний ресурс, не входящий в доверенный список — классический сценарий open redirect. Точный код, содержащий ошибку, в опубликованном описании не раскрывается.

Атака может быть выполнена удалённо, без предварительной аутентификации в целевой системе. По шкале CVSS уязвимости присвоен балл 5.3 (MEDIUM). Open redirect сам по себе не приводит к компрометации данных напрямую, однако активно используется в фишинговых кампаниях: ссылка на легитимный домен доверенного сервиса повышает убедительность атаки и помогает обходить фильтры почтовых шлюзов и систем защиты от фишинга. Кроме того, подобные ошибки могут выступать частью цепочки эксплойтов при реализации сценариев кражи токенов или сессий в OAuth- и SSO-потоках.

Важно отметить: производитель был уведомлён об уязвимости заблаговременно, однако, согласно записи CVE, не ответил на обращение и не выпустил патч. Это означает, что на момент публикации официального исправления может не существовать.

Что делать

Поскольку вендор не отреагировал на disclosure, рекомендуется применять компенсирующие меры:

• Ограничить доступ к эндпоинту /v5.0/social на периметре (WAF, reverse proxy) и включить строгую валидацию параметра state — разрешать только относительные пути или адреса из белого списка доменов;
• Настроить правила WAF для блокировки запросов, где state содержит абсолютные URL, схемы http(s)://, а также обходные конструкции вида //, @, URL-encoded варианты;
• Отслеживать обращения к вендору и подписаться на обновления записи CVE — при выпуске патча установить его в приоритетном порядке;
• При отсутствии возможности обновления рассмотреть ограничение функциональности социальных входов или её изоляцию на отдельном сегменте;
• Провести разъяснительную работу с пользователями: предупреждать о фишинге, в котором ссылки ведут на домен доверенного сервиса, но перенаправляют на сторонние ресурсы.

Итог: CVE-2026-113384 — умеренно опасная, но практически значимая уязвимость, особенно в контексте фишинговых атак и обхода почтовых фильтров. Отсутствие реакции производителя делает компенсирующие меры на стороне заказчика фактически единственной линией защиты до появления официального исправления.

Источник: CVE Project (cvelistV5)