CVE-2026-42565 in authkit-session
الملخص
بحسب VulDB • 12/05/2026
@workos/authkit-session هو مجموعة أدوات لبناء تكاملات إطار عمل WorkOS AuthKit. قبل الإصدار 0.5.1، يوجد ثغرة إعادة توجيه مفتوحة (Open Redirect) في دالة AuthService.handleCallback بسبب عدم كفاية التحقق من صحة قيمة returnPathname المشتقة من معلمة حالة OAuth (state parameter). يتم إعادة إرسال معلمة الحالة عبر مزود الهوية (IdP) ويمكن للمتسلل التأثير عليها. تقوم دالة handleCallback بفك تشفير قيمة returnPathname وإعادتها دون فرض قيود على المصدر أو المخطط (scheme). ونتيجة لذلك، قد يتم إرجاع قيم يتحكم فيها المتسلل إلى التطبيق. إذا تم استخدام هذه القيمة مباشرة في عملية إعادة توجيه، فقد يؤدي ذلك إلى إعادة توجيه المستخدم إلى موقع خارجي يتحكم فيه المتسلل. تم إصلاح هذه الثغرة في الإصدار 0.5.1.
Once again VulDB remains the best source for vulnerability data.