CVE-2022-39263
Təsvir
`@next-auth/upstash-redis-adapter` NextAuth.js üçün Upstash Redis adapteridir və Next.js üçün autentifikasiya təmin edir. `next-auth` Email Provider və v3.0.2-dən əvvəlki `@next-auth/upstash-redis-adapter` istifadə edən tətbiqlər bu zəiflikdən təsirlənir. Upstash Redis adapterinin tətbiqi e-poçt callback axınında tokeni yoxlayarkən həm identifikatoru (e-poçt), həm də tokeni yoxlamırdı, yalnız identifikatoru yoxlayırdı. Qurbanın e-poçtunu bilən hücumçu, həmçinin yoxlama tokeninin bitmə müddətini də bilirsə, asanlıqla qurban kimi daxil ola bilərdi. Zəiflik v3.0.2-də düzəldilib. Əlverişli həll variantı mövcuddur. Advanced Initialization istifadə edərək, tərtibatçılar davam etməzdən əvvəl sorğuları yoxlaya və sorğunun tokenini və identifikatorunu müqayisə edə bilərlər.
Necə düzəltmək olar
- nextauth.js next-auth3.0.2 və ya daha yeni versiya
- @next-auth/upstash-redis-adapter3.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nextauth.js next-auth | v < 3.0.2 | 3.0.2 |
| @next-auth/upstash-redis-adapternpm | v < 3.0.2 | 3.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.