CVE-2026-73418 in next-auth
Zusammenfassung
von VulDB • 12.08.2026
NextAuth.js bietet Authentifizierung für Next.js. Vor den Versionen @auth/core 0.41.3 sowie next-auth 4.24.15 und 5.0.0-beta.32 kann die exportierte Hilfsfunktion getToken() in den Modulen next-auth/jwt und @auth/core/jwt eine nicht abgefangene Ausnahme auslösen, wenn sie einen fehlerhaften Authorization: Bearer-Header liest. Wenn kein Sitzungs-Cookie vorhanden ist, dekodiert getToken() den Bearer-Wert vor der Validierung URL-codiert; dabei führt eine fehlerhafte Prozentcodierung dazu, dass decodeURIComponent() eine Ausnahme auslöst, anstatt das Token als ungültig zu behandeln. Da getToken() häufig in API-Routen, Middleware und serverseitigen Anforderungsverarbeitern aufgerufen wird, kann eine einzelne nicht authentifizierte Anfrage eine unbehandelte Ausnahme in Codepfaden auslösen, die Anfragen authentifizieren, was pro Anforderung einen Denial-of-Service (DoS) verursacht, ohne Token, Sitzungen oder andere Daten preiszugeben und ohne die Authentifizierung zu umgehen. Dieses Problem wurde in @auth/core 0.41.3 sowie next-auth 4.24.15 und 5.0.0-beta.32 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.