CVE-2022-39263
Açıklama
`@next-auth/upstash-redis-adapter`, Next.js için kimlik doğrulama sağlayan NextAuth.js'in Upstash Redis adaptörüdür. `next-auth` Email Provider ve v3.0.2 öncesindeki `@next-auth/upstash-redis-adapter` sürümünü kullanan uygulamalar bu güvenlik açığından etkilenmektedir. Upstash Redis adaptörü uygulaması, e-posta geri çağırma akışında belirteci doğrularken hem tanımlayıcıyı (e-posta) hem de belirteci kontrol etmek yerine yalnızca tanımlayıcıyı kontrol etmektedir. Kurbanın e-postasını bilen bir saldırgan, aynı zamanda doğrulama belirtecinin sona erme süresini de biliyorsa kurban olarak kolayca oturum açabilir. Güvenlik açığı v3.0.2 sürümünde giderilmiştir. Bir geçici çözüm mevcuttur; geliştiriciler Gelişmiş Başlatma (Advanced Initialization) kullanarak, işleme devam etmeden önce istekleri kontrol edebilir ve sorgunun belirteci ile tanımlayıcısını karşılaştırabilir.
Nasıl düzeltilir
- nextauth.js next-auth3.0.2 ya da sonraki bir sürüm
- @next-auth/upstash-redis-adapter3.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nextauth.js next-auth | v < 3.0.2 | 3.0.2 |
| @next-auth/upstash-redis-adapternpm | v < 3.0.2 | 3.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.