CVE-2026-73419
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
NextAuth.js przed wersjami @auth/core 0.41.3, next-auth 4.24.15 i 5.0.0-beta.32 przechowuje wartości kontrolne OAuth/OIDC (state, nonce, PKCE verifier) w globalnych plikach cookie niezwiązanych z dostawcą, który je utworzył. Atakujący może wykorzystać to do połączenia swojego konta z kontem ofiary w aplikacjach z wieloma dostawcami i linkowaniem kont.
Ocena ryzyka
Ryzyko trwałego przejęcia konta użytkownika przez atakującego, który uzyskuje nieautoryzowany dostęp do zasobów ofiary.
Rekomendacja
Zaktualizuj @auth/core do wersji 0.41.3 lub nowszej, a next-auth do 4.24.15 lub 5.0.0-beta.32 (lub nowszej).
Inne podatności w NextAuth.js
Zobacz wszystkie- CVE-2026-73421Krytyczne
NextAuth.js od wersji 5.0.0-beta.0 do 5.0.0-beta.32 ma podatność, gdzie aplikacje sprawdzające tylko istnienie obiektu auth mogą przepuścić nieuwierzytelnionych użytkowników, gdy wystąpi błąd konfiguracji serwera. Błąd konfiguracji, taki jak brakujący issuer lub AUTH_SECRET, powoduje, że odpowiedź sesji jest parsowana jako prawdziwy obiekt błędu zamiast null, co prowadzi do fałszywego uwierzytelnienia.
- CVE-2026-73420Krytyczne
NextAuth.js przed @auth/core 0.41.3 i next-auth 4.24.15 oraz 5.0.0-beta.32 ma podatność w normalizatorze adresów email, gdzie adres z pełnoszerokim znakiem @ (U+FF20) przechodzi walidację, ale po normalizacji Unicode staje się standardowym @, co może spowodować dostarczenie linku do logowania do atakującego.
- CVE-2026-73418Wysokie
NextAuth.js przed wersjami @auth/core 0.41.3, next-auth 4.24.15 i 5.0.0-beta.32 może rzucić nieprzechwycony wyjątek w funkcji getToken() podczas odczytu źle sformułowanego nagłówka Authorization: Bearer. Gdy brak ciasteczka sesji, getToken() dekoduje wartość Bearer przed walidacją, a nieprawidłowe kodowanie procentowe powoduje błąd decodeURIComponent(). Może to prowadzić do odmowy usługi na żądanie bez ujawnienia tokenów lub obejścia uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
NextAuth.js provides authentication for Next.js. Prior to@auth/core 0.41.3 and next-auth 4.24.15 and 5.0.0-beta.32, Auth.js stores the OAuth/OIDC anti-CSRF checks state, nonce, and the PKCE verifier in global cookies that are not bound to the provider that created them. On callback, a check value minted during a sign-in started with one provider can satisfy the callback for a different provider because the stored cookie is not verified against the callback provider's identity, including the provider ID, issuer, client ID, or redirect URI. In a multi-provider application that permits account linking while logged in, when one provider's authorization request is observable and a target provider callback can be satisfied without a PKCE verifier, an attacker can lure a victim into starting a legitimate same-origin flow and link the attacker's target-provider account to the victim's Auth.js user. The linked provider grants the attacker persistent sign-in to the victim's account, while cross-site request forgery alone is insufficient. This issue is fixed in @auth/core 0.41.3 and next-auth 4.24.15 and 5.0.0-beta.32.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS