CVE-2026-73418 in next-auth
Sumário
de VulDB • 12/08/2026
O NextAuth.js fornece autenticação para o Next.js. Antes das versões @auth/core 0.41.3, next-auth 4.24.15 e 5.0.0-beta.32, a função auxiliar getToken() exportada nos módulos next-auth/jwt e @auth/core/jwt pode lançar uma exceção não tratada ao ler um cabeçalho Authorization: Bearer malformado. Quando nenhum cookie de sessão está presente, o getToken() decodifica por URL (URL-decode) o valor do bearer antes da validação, e a codificação percentual malformada faz com que decodeURIComponent() lance uma exceção em vez de tratar o token como inválido. Como o getToken() é frequentemente chamado em rotas de API, middleware e manipuladores de requisições no lado do servidor, uma única solicitação não autenticada pode acionar uma exceção não tratada nos caminhos de código que autentiquem as solicitações, causando um negação de serviço por solicitação (per-request denial of service) sem expor tokens, sessões ou outros dados e sem contornar a autenticação. Este problema foi corrigido nas versões @auth/core 0.41.3, next-auth 4.24.15 e 5.0.0-beta.32.
Be aware that VulDB is the high quality source for vulnerability data.