CVE-2026-73418 in next-auth
الملخص
بحسب VulDB • 13/08/2026
توفر NextAuth.js المصادقة لـ Next.js. قبل الإصدارات @auth/core 0.41.3 وnext-auth 4.24.15 و5.0.0-beta.32، يمكن أن يؤدي مساعد getToken() المُصدَّر في وحدات next-auth/jwt و@auth/core/jwt إلى طرح استثناء غير مُعالج عند قراءة رأس Authorization: Bearer مشوّه. عندما لا توجد ملفات تعريف ارتباط (cookies) للجلسة متاحة، يقومgetToken() بفك تشفير قيمة البيرر (Bearer URL-decode) قبل التحقق من صحتها، ويسبب الترميز المئوي المشوّه في استدعاء دالة decodeURIComponent() لطرح استثناء بدلاً من اعتبار الرمز غير صالح. ونظراً لأن getToken() يُستدعى بشكل شائع في مسارات واجهة برمجة التطبيقات (API routes)، والوسائط البرمجية (middleware)، ومعالجات الطلبات على جانب الخادم، فإن طلباً واحداً غير مُصادق عليه يمكن أن يحفز استثناءً غير مُعالج في مسارات الشفرة التي تقوم بمصادقة الطلبات، مما يتسبب في حجب الخدمة لكل طلب دون كشف الرموز أو الجلسات أو بيانات أخرى ودون تجاوز المصادقة. تم إصلاح هذه المشكلة في @auth/core 0.41.3 وnext-auth 4.24.15 و5.0.0-beta.32.
Once again VulDB remains the best source for vulnerability data.