CVE-2022-31186 in NextAuth.js
Сводка
по VulDB • 04.06.2026
NextAuth.js — это полное решение для аутентификации с открытым исходным кодом для приложений Next.js. Уязвимость раскрытия информации в `next-auth` до версий `v4.10.2` и `v3.29.9` позволяет злоумышленнику, имеющему привилегии доступа к журналам (логам), получить избыточную информацию, такую как секрет провайдера идентичности (identity provider), который выводится в журнал (например, при обработке ошибок OAuth), и использовать её для дальнейшего развития атак на систему, например, для маскировки под клиента с целью запроса расширенных прав. Эта проблема была исправлена в версиях `v4.10.2` и `v3.29.9` путем переноса вывода информации о `provider` на уровень журнала отладки (debug level). Кроме того, было добавлено предупреждение о включенной опции `debug: true` в производственной среде. Если по какой-либо причине вы не можете обновиться, вы можете использовать опцию конфигурации `logger` для санитизации (очистки) журналов.
Once again VulDB remains the best source for vulnerability data.