CVE-2026-42565
Təsvir
@workos/authkit-session, WorkOS AuthKit freymvork inteqrasiyalarını qurmaq üçün nəzərdə tutulmuş bir alətlər dəstidir. 0.5.1 versiyasından əvvəl, OAuth state parametrindən törəyən returnPathname dəyərinin kifayət qədər yoxlanılmaması səbəbindən AuthService.handleCallback funksiyasında açıq yönləndirmə (open redirect) zəifliyi mövcuddur. State parametri kimlik təminatçısı (IdP) vasitəsilə geri ötürülür və hücumçu tərəfindən təsir edilə bilər. handleCallback funksiyası mənşə (origin) və ya sxem üzərində heç bir məhdudiyyət tətbiq etmədən returnPathname dəyərini dekodlaşdırır və qaytarır. Nəticədə, hücumçu tərəfindən idarə olunan dəyərlər tətbiqə qaytarıla bilər. Əgər bu dəyər birbaşa yönləndirmədə istifadə olunarsa, istifadəçi kənar, hücumçu tərəfindən idarə olunan sayta yönləndirilə bilər. Bu zəiflik 0.5.1 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- @workos/authkit-session0.5.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @workos/authkit-sessionnpm | v < 0.5.1 | 0.5.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.