CVE-2022-31186
Açıklama
NextAuth.js, Next.js uygulamaları için eksiksiz bir açık kaynak kimlik doğrulama çözümüdür. `next-auth` sürüm `v4.10.2` ve `v3.29.9` öncesinde bulunan bir bilgi ifşası zafiyeti, günlük erişim yetkisine sahip bir saldırganın, günlüğe kaydedilen (OAuth hata yönetimi sırasında fırlatılan) bir kimlik sağlayıcı gizli anahtarı gibi aşırı bilgileri elde etmesine ve bunu, geniş kapsamlı izinler istemek için istemciyi taklit etmek gibi sistem üzerinde daha fazla saldırı gerçekleştirmek amacıyla kullanmasına olanak tanır. Bu sorun, `provider` bilgisi için tutulan günlüklerin debug seviyesine taşınmasıyla `v4.10.2` ve `v3.29.9` sürümlerinde düzeltilmiştir. Ek olarak, üretim ortamında `debug: true` seçeneğinin açık olması durumunda bir uyarı eklenmiştir. Herhangi bir nedenle yükseltme yapamıyorsanız, günlükleri temizleyerek `logger` yapılandırma seçeneğini kullanabilirsiniz.
Nasıl düzeltilir
- next-auth nextauth.js3.29.9, 4.10.2 ya da sonraki bir sürüm
- next-auth3.29.9, 4.10.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| next-auth nextauth.js | v < 3.29.9, 4.0.0 ≤ v < 4.10.2 | 3.29.9, 4.10.2 |
| next-authnpm | v < 3.29.9, 4.0.0 ≤ v < 4.10.2 | 3.29.9, 4.10.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.