CVE-2025-67716

ŚrednieCVSS 5.7

Opublikowano: 11/12/2025(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Auth0 Next.js SDK to biblioteka do implementacji uwierzytelniania użytkowników w aplikacjach Next.js. Wersje od 4.9.0 do 4.12.1 zawierają błąd walidacji danych wejściowych w parametrze returnTo, który może pozwolić atakującym na wstrzyknięcie niezamierzonych parametrów zapytania OAuth do żądania autoryzacji Auth0.

Ocena ryzyka

Skuteczne wykorzystanie może skutkować wydaniem tokenów z niezamierzonymi parametrami, co może prowadzić do nieautoryzowanego dostępu lub eskalacji uprawnień. Problem dotyczy aplikacji korzystających z podatnych wersji SDK.

Rekomendacja

Zaktualizuj Auth0 Next.js SDK do wersji 4.13.0 lub nowszej, która naprawia ten problem. Sprawdź, czy aplikacja nie używa podatnych wersji.

Inne podatności w Auth0 Next.js SDK

CVE-2025-67490Średnie
Biblioteka Auth0 Next.js SDK w wersjach 4.11.0 do 4.11.2 oraz 4.12.0 zawiera podatność polegającą na nieprawidłowym wyszukiwaniu w pamięci podręcznej TokenRequestCache podczas równoczesnych żądań na tym samym kliencie. Problem został naprawiony w wersjach 4.11.2 i 4.12.1.

Oryginalny opis (angielski, źródło NVD)

The Auth0 Next.js SDK is a library for implementing user authentication in Next.js applications. Versions 4.9.0 through 4.12.1 contain an input-validation flaw in the returnTo parameter, which could allow attackers to inject unintended OAuth query parameters into the Auth0 authorization request. Successful exploitation may result in tokens being issued with unintended parameters. This issue is fixed in version 4.13.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS