CVE-2026-73419

NextAuth.js, Next.js için kimlik doğrulama sağlar. @auth/core 0.41.3 ve next-auth 4.24.15 ve 5.0.0-beta.32 sürümlerinden önce, Auth.js OAuth/OIDC anti-CSRF kontrolleri olan state, nonce ve PKCE doğrulayıcısını, kendilerini oluşturan sağlayıcıya bağlı olmayan genel çerezlerde saklar. Geri çağırma sırasında, bir sağlayıcı ile başlatılan oturum açma sırasında üretilen bir kontrol değeri, saklanan çerez geri çağırma sağlayıcısının kimliğine (sağlayıcı ID'si, issuer, client ID veya yönlendirme URI'si dahil) karşı doğrulanmadığından farklı bir sağlayıcının geri çağırmasını karşılayabilir. Oturum açıkken hesap bağlamaya izin veren çok sağlayıcılı bir uygulamada, bir sağlayıcının yetkilendirme isteği gözlemlenebilir olduğunda ve hedef sağlayıcı geri çağırması PKCE doğrulayıcısı olmadan karşılanabildiğinde, bir saldırgan kurbanı meşru bir aynı kaynak akışı başlatmaya ikna edebilir ve saldırganın hedef sağlayıcı hesabını kurbanın Auth.js kullanıcısına bağlayabilir. Bağlanan sağlayıcı, saldırgana kurbanın hesabına kalıcı oturum açma izni verir; tek başına siteler arası istek sahteciliği yetersizdir. Bu sorun @auth/core 0.41.3 ve next-auth 4.24.15 ve 5.0.0-beta.32 sürümlerinde giderilmiştir.