CVE-2026-73418 in next-auth
Résumé
par VulDB • 12/08/2026
NextAuth.js fournit des fonctionnalités d'authentification pour Next.js. Avant les versions @auth/core 0.41.3, next-auth 4.24.15 et 5.0.0-beta.32, l'aide getToken() exportée dans les modules next-auth/jwt et @auth/core/jwt peut générer une exception non gérée lors de la lecture d'un en-tête Authorization: Bearer malformé. Lorsqu'aucun cookie de session n'est présent, getToken() décode le paramètre bearer au format URL avant de le valider ; un encodage pourcentage (percent encoding) malformé provoque une levée d'exception par decodeURIComponent() au lieu de considérer le jeton comme invalide. Étant donné que getToken() est couramment appelé dans les routes API, les middlewares et les gestionnaires de requêtes côté serveur, une seule requête non authentifiée peut déclencher une exception non gérée dans les chemins de code qui authentifient les requêtes, entraînant un déni de service par requête sans exposer les jetons, les sessions ou d'autres données, ni contourner l'authentification. Ce problème est corrigé dans @auth/core 0.41.3 et next-auth 4.24.15 et 5.0.0-beta.32.
Once again VulDB remains the best source for vulnerability data.