CVE-2022-31186
Təsvir
NextAuth.js Next.js tətbiqləri üçün tam açıq mənbəli autentifikasiya həllidir. `v4.10.2` və `v3.29.9` versiyalarından əvvəlki `next-auth`-da məlumat sızması zəifliyi jurnal girişi imtiyazına malik hücumçuya jurnalda həddindən artıq məlumat əldə etməyə imkan verir, məsələn, kimlik provayderinin sirri (OAuth xətasının emalı zamanı atılan) və ondan sistemə qarşı sonrakı hücumlar üçün istifadə etməyə, məsələn, geniş icazələr tələb etmək üçün müştərini təqlid etməyə. Bu problem `v4.10.2` və `v3.29.9` versiyalarında `provider` məlumatı üçün jurnalın debug səviyyəsinə köçürülməsi ilə aradan qaldırılıb. Bundan əlavə, istehsalat mühitində `debug: true` seçiminin aktiv olması barədə xəbərdarlıq əlavə etdik. Əgər nədənsə yeniləyə bilmirsinizsə, jurnalları təmizləyərək `logger` konfiqurasiya seçimindən istifadə edə bilərsiniz.
Necə düzəltmək olar
- next-auth nextauth.js3.29.9, 4.10.2 və ya daha yeni versiya
- next-auth3.29.9, 4.10.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| next-auth nextauth.js | v < 3.29.9, 4.0.0 ≤ v < 4.10.2 | 3.29.9, 4.10.2 |
| next-authnpm | v < 3.29.9, 4.0.0 ≤ v < 4.10.2 | 3.29.9, 4.10.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.