Vulnerabilidad en reflex-dev (CVE-2025-62379)

Reflex es una biblioteca para construir aplicaciones web full-stack en Python puro. En las versiones 0.5.4 a 0.8.14, el endpoint /auth-codespace asigna automáticamente el valor del parámetro de consulta redirect_to directamente a los enlaces del lado del cliente sin ninguna validación y activa clics automáticos cuando la página se carga en un entorno de GitHub Codespaces. Esto permite a los atacantes redirigir a los usuarios a URL externas arbitrarias. La ruta vulnerable solo se registra cuando se detecta un entorno de Codespaces, y la detección está controlada por variables de entorno. El mismo comportamiento puede activarse en producción si la variable de entorno GITHUB_CODESPACES_PORT_FORWARDING_DOMAIN está configurada. La vulnerabilidad ocurre porque el código asigna el parámetro de consulta redirect_to directamente a a.href sin ninguna validación e inmediatamente activa un clic (navegación automática), permitiendo que los usuarios sean enviados a dominios externos arbitrarios. La condición de ejecución se basa en la presencia de una bandera de sessionStorage, lo que significa que se activa inmediatamente en las primeras visitas o en ventanas de navegación de incógnito/privada, sin defensas de lista blanca de origen/esquema del lado del servidor o de aplicación de rutas internas implementadas. Este problema ha sido parcheado en la versión 0.8.15. Como solución alternativa, los usuarios pueden asegurarse de que GITHUB_CODESPACES_PORT_FORWARDING_DOMAIN no esté configurado en un entorno de producción.