From bf6aee1fbe3dda05a6835a425244de0bba436095 Mon Sep 17 00:00:00 2001 From: bilalgursen Date: Mon, 21 Sep 2026 16:12:24 +0300 Subject: [PATCH] =?UTF-8?q?fix(giris):=20callback'te=20protokol-g=C3=B6rel?= =?UTF-8?q?i=20adres=20reddi=20(a=C3=A7=C4=B1k=20y=C3=B6nlendirme)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Co-Authored-By: Claude Fable 5.1 --- src/features/kullanici/components/giris-karti.tsx | 5 ++++- 1 file changed, 4 insertions(+), 1 deletion(-) diff --git a/src/features/kullanici/components/giris-karti.tsx b/src/features/kullanici/components/giris-karti.tsx index 6aa555f..7da1add 100644 --- a/src/features/kullanici/components/giris-karti.tsx +++ b/src/features/kullanici/components/giris-karti.tsx @@ -13,7 +13,10 @@ export async function GirisKarti({ callback?: string; hata?: string; }) { - const callbackURL = callback && callback.startsWith("/") ? callback : "/"; + // Yalnız site içi yol: "//evil.com" ve "/\\evil.com" protokol-göreli adres + // sayılır, açık yönlendirmeye izin verme (dogrula-karti.tsx ile aynı kalkan). + const callbackURL = + callback && /^\/(?![/\\])/.test(callback) ? callback : "/"; // Magic link doğrulaması başarısız olunca errorCallbackURL buraya düşürür // (bkz. giris-form.tsx ve /giris/dogrula) — ham INVALID_TOKEN yerine // dostça bir mesaj gösterip yeni bağlantı istemeye yönlendiriyoruz.