CVE-2023-48815

O kkFileView 4.3.0 tem um problema de controle de acesso incorreto classificado como open redirect: a aplicação pode ser induzida a redirecionar um usuário para um destino escolhido pelo atacante. Não há execução de código nem roubo direto de dados aqui — a falha é que uma URL confiável do kkFileView vira um trampolim para algo hostil, emprestando ao link do atacante a credibilidade de um host legítimo.

Open redirects são de baixa severidade por si sós, e o 6.1 com interação do usuário exigida reflete isso honestamente. Seu valor para atacantes é como componente: tornam links de phishing mais convincentes ao abrir em um domínio em que o alvo confia antes de encaminhar para uma página de coleta de credenciais, e podem lubrificar fluxos de abuso de OAuth ou SSO. O dano só se concretiza quando um usuário segue um link forjado e então age sobre o que encontra.

Classificamos isso como uma preocupação de encadeamento e higiene de phishing, e não como um risco isolado. Onde o kkFileView está exposto, o anotamos como infraestrutura de redirecionamento que uma campanha de phishing poderia tomar emprestada, e nos apoiamos em conscientização voltada ao usuário mais detecção de abuso de redirecionamento de saída. Ele permanece bem abaixo dos itens de execução de código deste lote; a resolução sensata é atualizar o componente para que ele pare de honrar destinos de redirecionamento não confiáveis.