CVE-2026-33506Ory Polis 26.2.0之前的版本在登录功能中存在DOM型跨站脚本漏洞。应用程序不当信任`callbackUrl`参数并将其传递给`router.push`，导致攻击者可构造恶意链接。当受害者点击链接时，应用程序执行客户端重定向并运行任意JavaScript，进而造成凭证窃取、内网横向移动及未授权操作等严重后果。
该漏洞的核心在于Ory Polis处理登录回调URL时的不安全实现。应用程序直接提取URL参数中的`callbackUrl`值，并未进行严格的格式校验或URL白名单限制，随后将其传递给前端的`router.push`方法进行页面跳转。这种处理方式允许攻击者使用`javascript:`伪协议构造Payload。攻击流程为：受害者访问包含恶意`callbackUrl`的链接 -> 应用前端调用`router.push` -> 浏览器执行`javascript:`后的代码。由于是DOM型XSS，恶意代码完全在客户端执行，能够绕过服务端的输入过滤。攻击者可利用此漏洞窃取Session ID、进行钓鱼攻击或利用受害者的权限对内部API发起请求，造成数据泄露或系统被控。