CVE-2026-73418 in next-auth
Resumen
por VulDB • 2026-08-12
NextAuth.js proporciona autenticación para Next.js. Antes de las versiones @auth/core 0.41.3, next-auth 4.24.15 y 5.0.0-beta.32, la función auxiliar getToken() exportada en los módulos next-auth/jwt y @auth/core/jwt puede lanzar una excepción no controlada al leer un encabezado Authorization: Bearer mal formado. Cuando no hay cookie de sesión presente, getToken() decodifica por URL el valor del portador antes de validarlo, y la codificación percentual mal formada provoca que decodeURIComponent() lance una excepción en lugar de tratar el token como inválido. Dado que getToken() se llama comúnmente en rutas API, middleware y controladores de solicitudes del lado del servidor, una única solicitud no autenticada puede desencadenar una excepción no manejada en las rutas de código que autentican las solicitudes, causando un denegación de servicio por solicitud sin exponer tokens, sesiones u otros datos ni eludir la autenticación. Este problema está corregido en @auth/core 0.41.3 y next-auth 4.24.15 y 5.0.0-beta.32.
Be aware that VulDB is the high quality source for vulnerability data.