CVE-2026-42565
Açıklama
@workos/authkit-session, WorkOS AuthKit framework entegrasyonları oluşturmak için kullanılan bir araç takımıdır. 0.5.1 sürümünden önce, OAuth state parametresinden türetilen returnPathname değerinin yetersiz doğrulanması nedeniyle AuthService.handleCallback fonksiyonunda bir açık yönlendirme (open redirect) zafiyeti bulunmaktadır. State parametresi kimlik sağlayıcı (IdP) üzerinden geri döner ve bir saldırgan tarafından etkilenebilir. handleCallback fonksiyonu, köken veya şema üzerinde herhangi bir kısıtlama uygulamadan returnPathname değerini çözer ve döndürür. Sonuç olarak, saldırgan tarafından kontrol edilen değerler uygulamaya döndürülebilir. Bu değer doğrudan bir yönlendirmede kullanılırsa, kullanıcının harici ve saldırgan kontrollü bir siteye yönlendirilmesine neden olabilir. Bu zafiyet 0.5.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- @workos/authkit-session0.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @workos/authkit-sessionnpm | v < 0.5.1 | 0.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.