CVE-2026-73421
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
NextAuth.js od wersji 5.0.0-beta.0 do 5.0.0-beta.32 ma podatność, gdzie aplikacje sprawdzające tylko istnienie obiektu auth mogą przepuścić nieuwierzytelnionych użytkowników, gdy wystąpi błąd konfiguracji serwera. Błąd konfiguracji, taki jak brakujący issuer lub AUTH_SECRET, powoduje, że odpowiedź sesji jest parsowana jako prawdziwy obiekt błędu zamiast null, co prowadzi do fałszywego uwierzytelnienia.
Ocena ryzyka
Po błędnej konfiguracji trasy chronione tylko przez istnienie sesji mogą być dostępne dla każdego, co prowadzi do nieautoryzowanego dostępu do danych i funkcji.
Rekomendacja
Zaktualizuj NextAuth.js do wersji 5.0.0-beta.32, która zawiera poprawkę.
Inne podatności w NextAuth.js
Zobacz wszystkie- CVE-2026-73420Krytyczne
NextAuth.js przed @auth/core 0.41.3 i next-auth 4.24.15 oraz 5.0.0-beta.32 ma podatność w normalizatorze adresów email, gdzie adres z pełnoszerokim znakiem @ (U+FF20) przechodzi walidację, ale po normalizacji Unicode staje się standardowym @, co może spowodować dostarczenie linku do logowania do atakującego.
- CVE-2026-73419Średnie
NextAuth.js przed wersjami @auth/core 0.41.3, next-auth 4.24.15 i 5.0.0-beta.32 przechowuje wartości kontrolne OAuth/OIDC (state, nonce, PKCE verifier) w globalnych plikach cookie niezwiązanych z dostawcą, który je utworzył. Atakujący może wykorzystać to do połączenia swojego konta z kontem ofiary w aplikacjach z wieloma dostawcami i linkowaniem kont.
- CVE-2026-73418Wysokie
NextAuth.js przed wersjami @auth/core 0.41.3, next-auth 4.24.15 i 5.0.0-beta.32 może rzucić nieprzechwycony wyjątek w funkcji getToken() podczas odczytu źle sformułowanego nagłówka Authorization: Bearer. Gdy brak ciasteczka sesji, getToken() dekoduje wartość Bearer przed walidacją, a nieprawidłowe kodowanie procentowe powoduje błąd decodeURIComponent(). Może to prowadzić do odmowy usługi na żądanie bez ujawnienia tokenów lub obejścia uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
NextAuth.js provides authentication for Next.js. From next-auth 5.0.0-beta.0 until 5.0.0-beta.32, applications that gate access by checking only for the existence of the auth object returned by the auth() wrapper can fail open when Auth.js has a server configuration error. In middleware, Route Handlers, React Server Components, and other auth() entry points, a non-OK session response is parsed into a truthy error object instead of null, so checks such as !!auth and if (req.auth) evaluate to true for unauthenticated requests. A provider missing both the issuer and authorization endpoint triggers InvalidEndpoints, and an unset AUTH_SECRET or another server configuration error can produce the same behavior. There is no impact while configuration is valid, but after a deployment becomes misconfigured, routes protected only by session existence silently grant access to every visitor. This issue is fixed in next-auth 5.0.0-beta.32.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS