CVE-2022-31093
Açıklama
NextAuth.js, Next.js uygulamaları için eksiksiz bir açık kaynak kimlik doğrulama çözümüdür. Etkilenen sürümlerde bir saldırgan, NextAuth.js kullanan bir uygulamaya, dahili olarak bir `URL` nesnesine dönüştürülen geçersiz bir `callbackUrl` sorgu parametresi içeren bir istek gönderebilir. Kurucuya hatalı biçimlendirilmiş bir URL iletildiği için URL örneklendirmesi başarısız olur ve bu durum, **API rota işleyicisinin zaman aşımına uğramasına ve kimlik doğrulamanın başarısız olmasına** yol açan yönetilmemiş bir hatanın fırlatılmasına neden olur. Bu sorun 3.29.5 ve 4.5.0 sürümlerinde giderilmiştir. Herhangi bir nedenle yükseltme yapamıyorsanız, geçici çözüm Advanced Initialization kullanmanızı gerektirir. Daha fazla bilgi için lütfen dokümantasyona bakın.
Nasıl düzeltilir
- nextauth.js next-auth3.29.5, 4.5.0 ya da sonraki bir sürüm
- next-auth3.29.5, 4.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nextauth.js next-auth | 3.0.0 ≤ v < 3.29.5, 4.0.0 ≤ v < 4.5.0 | 3.29.5, 4.5.0 |
| next-authnpm | v < 3.29.5, 4.0.0 ≤ v < 4.5.0 | 3.29.5, 4.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.