CVE-2026-73419

NextAuth.js, Next.js üçün autentifikasiya təmin edir. @auth/core 0.41.3, next-auth 4.24.15 və 5.0.0-beta.32 versiyalarından əvvəl Auth.js, OAuth/OIDC anti-CSRF yoxlamaları vəziyyətini (state), nonce və PKCE verifikatorunu onları yaradan provayderlə bağlı olmayan qlobal kukilərdə saxlayır. Geri çağırış (callback) zamanı, bir provayderlə başladılmış giriş prosesi əsnasında yaradılan yoxlama dəyəri, digər provayderin geri çağırışını təmin edə bilər, çünki saxlanılan kuki provayder ID-si, emitent (issuer), müştəri ID-si (client ID) və ya yönləndirmə URI-si daxil olmaqla geri çağırış provayderinin kimliyinə qarşı yoxlanılmır. Daxil olmuş halda hesabların bağlanmasına icazə verən çoxprovayderli tətbiqdə, bir provayderin avtorizasiya sorğusu müşahidə edilə bildikdə və hədəf provayderin geri çağırışı PKCE verifikatoru olmadan təmin edilə bildikdə, hücumçu qurbanı legitim eyni mənşəli axını başlatmağa vadar edə bilər və hücumçunun hədəf provayder hesabını qurbanın Auth.js istifadəçisinə bağlaya bilər. Bağlı provayder hücumçuya qurbanın hesabına daimi giriş imkanı verirken, yalnız saytlararası sorğu saxtakarlığı (CSRF) kifayət etmir. Bu problem @auth/core 0.41.3, next-auth 4.24.15 və 5.0.0-beta.32 versiyalarında düzəldilmişdir.