Открытый редирект.

Открытый редирект возникает, когда цель серверного или клиентского перенаправления полностью контролируется пользовательским вводом (?next=, ?returnUrl=, ?redirect=), а приложение не ограничивает её доверенными хостами. Атакующие создают ссылки, начинающиеся с легитимного домена, но ведущие на подконтрольный сайт с поддельными страницами входа или оплаты. Поскольку начальный URL принадлежит респектабельному домену, жертвы и почтовые фильтры склонны доверять, что повышает успешность фишинга. Открытые редиректы часто объединяют с OAuth-потоками для кражи authorization code. Защиты: allowlist хостов/путей, серверные сопоставления вместо сырых URL, страница-предупреждение, подпись redirect-параметров.