概要
requiresAuthミドルウェアを直接またはデフォルトのauthRequiredオプションで使用しているユーザーは、ミドルウェアがキャッチオールルートに適用されている場合、オープンリダイレクト攻撃に対し脆弱になります。
example.comにあるすべてのルートがrequiresAuthミドルウェアによって保護されている場合には、ログイン後にhttp://example.com//google.comを開くとgoogle.comにリダイレクトされます。これは、Expressフレームワークによって報告された元のURLが正しくサニタイズされていないためです。
自分は影響を受けますか？
requiresAuthミドルウェアをキャッチオールルートまたはデフォルトのauthRequiredオプションで使用していて、express-openid-connectのバージョンが2.7.1以前の場合には影響を受けます。
修正方法
バージョン2.7.2以降にアップグレードしてください。