1) Nakon uspjesnog logina redirect je isao na sirovi 'next' parametar.
'next' dolazi iz request.path, dakle bez SCRIPT_NAME prefiksa, pa je
/guacadmin/login?next=/ nakon prijave vodio na / -> /guacamole/.
Korisnik bi se prijavio i zavrsio na Guacamole login ekranu umjesto
na dashboardu. Sad se dodaje request.script_root, uz provjeru da je
next relativna putanja (open-redirect).
2) limit_req_zone je bio rate=10r/m - deset zahtjeva po MINUTI.
Guacamole je Angular SPA i na jedno otvaranje ispali desetke
zahtjeva, pa je nginx redom vracao 503 na app.js, app.css,
api/tokens i translations. Podignuto na 10r/s, burst 50.
Brute-force i dalje pokrivaju basic auth + fail2ban.
Provjereno: /guacadmin/ -> login -> /guacadmin/dashboard (200), svih
osam GUI stranica 200, 40 paralelnih zahtjeva na Guacamole API sve 200.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
njomac
d54bb27021