Podatności NextAuth.js

NextAuth.js od wersji 5.0.0-beta.0 do 5.0.0-beta.32 ma podatność, gdzie aplikacje sprawdzające tylko istnienie obiektu auth mogą przepuścić nieuwierzytelnionych użytkowników, gdy wystąpi błąd konfiguracji serwera. Błąd konfiguracji, taki jak brakujący issuer lub AUTH_SECRET, powoduje, że odpowiedź sesji jest parsowana jako prawdziwy obiekt błędu zamiast null, co prowadzi do fałszywego uwierzytelnienia.

NextAuth.js przed @auth/core 0.41.3 i next-auth 4.24.15 oraz 5.0.0-beta.32 ma podatność w normalizatorze adresów email, gdzie adres z pełnoszerokim znakiem @ (U+FF20) przechodzi walidację, ale po normalizacji Unicode staje się standardowym @, co może spowodować dostarczenie linku do logowania do atakującego.

NextAuth.js przed wersjami @auth/core 0.41.3, next-auth 4.24.15 i 5.0.0-beta.32 przechowuje wartości kontrolne OAuth/OIDC (state, nonce, PKCE verifier) w globalnych plikach cookie niezwiązanych z dostawcą, który je utworzył. Atakujący może wykorzystać to do połączenia swojego konta z kontem ofiary w aplikacjach z wieloma dostawcami i linkowaniem kont.

NextAuth.js przed wersjami @auth/core 0.41.3, next-auth 4.24.15 i 5.0.0-beta.32 może rzucić nieprzechwycony wyjątek w funkcji getToken() podczas odczytu źle sformułowanego nagłówka Authorization: Bearer. Gdy brak ciasteczka sesji, getToken() dekoduje wartość Bearer przed walidacją, a nieprawidłowe kodowanie procentowe powoduje błąd decodeURIComponent(). Może to prowadzić do odmowy usługi na żądanie bez ujawnienia tokenów lub obejścia uwierzytelniania.