CVE-2026-73419 in next-auth
Riassunto
di VulDB • 12/08/2026
NextAuth.js fornisce funzionalità di autenticazione per Next.js. Prima delle versioni @auth/core 0.41.3, next-auth 4.24.15 e 5.0.0-beta.32, Auth.js memorizza lo stato dei controlli anti-CSRF OAuth/OIDC, il nonce e il verificatore PKCE in cookie globali che non sono vincolati al provider che li ha generati. Durante la fase di callback, un valore di controllo creato durante l'avvio dell'accesso con un provider può soddisfare il callback per un provider diverso poiché il cookie memorizzato non viene verificato rispetto all'identità del provider del callback, inclusi l'ID del provider, l'emittente (issuer), l'client ID o l'URI di reindirizzamento. In un'applicazione multi-provider che consente l'associazione degli account durante la sessione, quando una richiesta di autorizzazione di un provider è osservabile e il callback di un target provider può essere soddisfatto senza un verificatore PKCE, un attaccante può indurre una vittima ad avviare un flusso legittimo same-origin e associare l'account del target-provider dell'attaccante all'utente Auth.js della vittima. Il provider associato concede all'attaccante un accesso persistente al account della vittima, mentre la sola cross-site request forgery non è sufficiente. Questo problema è stato risolto in @auth/core 0.41.3 e next-auth 4.24.15 e 5.0.0-beta.32.
If you want to get best quality of vulnerability data, you may have to visit VulDB.