CVE-2026-73418 in next-auth
요약
\~에 의해 VulDB • 2026. 08. 12.
NextAuth.js는 Next.js에 대한 인증을 제공합니다. @auth/core 0.41.3, next-auth 4.24.15 및 5.0.0-beta.32 이전 버전에서 next-auth/jwt 및 @auth/core/jwt 모듈로 내보내진 getToken() 헬퍼 함수는 잘못된 형식의 Authorization: Bearer 헤더를 읽을 때 처리되지 않은 예외(uncaught exception)를 발생시킬 수 있습니다. 세션 쿠키가 없는 경우, getToken()은 토큰이 유효하지 않다고 간주하기 전에 베어러 값을 URL 디코딩하며, 잘못된 percent 인코딩으로 인해 decodeURIComponent()에서 예외가 throw됩니다. getToken()은 일반적으로 API 라우트, 미들웨어 및 서버 측 요청 핸들러에서 호출되므로, 단일 비인증(unauthenticated) 요청이 인증 경로의 코드에서 처리되지 않은 예외를 유발하여 토큰, 세션 또는 기타 데이터 노출 없이도 인증을 우회하지 않고 매 요청별 서비스 거부(Denial of Service)를 초래할 수 있습니다. 이 문제는 @auth/core 0.41.3 및 next-auth 4.24.15와 5.0.0-beta.32에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.