JVNDB-2026-017543

heartcomboのdeviseにおけるオープンリダイレクトの脆弱性

DeviseはWardenに基づくRails用の認証ソリューションです。バージョン5.0.3以下では、TimeoutableモジュールがDeviseで有効になっている場合、FailureApp#redirect_urlメソッドがリクエストのリファラ（HTTP Refererヘッダーであり攻撃者が制御可能）を検証なしに返してしまいます。これはセッションタイムアウトが発生した非GETリクエストに対して起こります。攻撃者が自動送信するクロスオリジンフォームをホストしたページを用意すると、有効期限切れのDeviseセッションを持つ被害者を任意の外部URLへリダイレクトさせることが可能です。これはGETタイムアウトのパス（サーバー側のattempted_pathを使用）やDevise独自のstore_location_forメカニズム（extract_path_from_locationによって外部ホストを除去）と対照的であり、これらは保護されていますが、非GETタイムアウトリダイレクトパスのみが保護されていません。有効期限切れのセッションを持つユーザーは信頼されたアプリドメインから攻撃者制御のURLへ静かにリダイレクトされます。そのため、フィッシングやマルウェア配布がブラウザ警告を回避して可能になります。注意点として、Railsの組み込みのオープンリダイレクト保護はこの問題を軽減しません。Devise::FailureAppは独自の関連リダイレクト構成のコピーを持つActionController::Metalアプリであるため、config.action_controller.action_on_open_redirect = :raise（および古いraise_on_open_redirects設定）は影響を及ぼしません。この問題はバージョン5.0.4で修正されました。

heartcombo

• devise 5.0.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Open Redirect via Unvalidated `request.referrer` in Timeoutable Session Timeout Handler  Advisory  heartcombo/devise  GitHub

1. オープンリダイレクト(CWE-601) [その他]

1. CVE-2026-40295

1. National Vulnerability Database (NVD) : CVE-2026-40295
2. 関連文書 : Merge commit from fork  heartcombo/devise@025fe21  GitHub

• [2026年06月03日]
    掲載