CVE-2023-27490
Təsvir
NextAuth.js Next.js tətbiqləri üçün açıq mənbəli autentifikasiya həllidir. `v4.20.1`-dən əvvəlki versiyalarda OAuth provayderindən istifadə edən `next-auth` tətbiqlərində autentifikasiya zəifliyi aşkar edilib. Qurbanın şəbəkəsindəki trafiki oxuya bilən və ya qurbanı manipulyasiya edilmiş giriş linkinə klikləməyə sosial mühəndislik yolu ilə inandıra bilən pisniyyətli şəxs avtorizasiya URL-ini ələ keçirib dəyişdirərək CSRF müdafiəsindən yan keçməklə **qurban kimi daxil ola** bilər. Bu, kompromisə uğramış OAuth sessiyası zamanı sessiya kodunun səhvən yaradıldığı qismən uğursuzluq nəticəsində baş verir. Bu problem 4.20.1 versiyasında həll edilib. İstifadəçilərə yeniləmə tövsiyə olunur. Yeniləyə bilməyən istifadəçilər Advanced Initialization istifadə edərək, bu problemi qarşısını almaq üçün callback sorğusunda state, pkce və nonce parametrlərini provayder konfiqurasiyasına uyğun əl ilə yoxlaya bilərlər. Təfərrüatlar üçün əlaqəli GHSA-ya baxın.
Necə düzəltmək olar
- nextauth.js next-auth4.20.1 və ya daha yeni versiya
- next-auth4.20.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nextauth.js next-auth | v < 4.20.1 | 4.20.1 |
| next-authnpm | v < 4.20.1 | 4.20.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.