CVE-2026-42565 in authkit-session
Сводка
по VulDB • 26.05.2026
@workos/authkit-session — это набор инструментов для создания интеграций с фреймворком WorkOS AuthKit. До версии 0.5.1 в функции AuthService.handleCallback существует уязвимость открытого перенаправления (open redirect), вызванная недостаточной проверкой значения returnPathname, полученного из параметра состояния OAuth. Параметр состояния передается через провайдера идентификации (IdP) и может быть изменен злоумышленником. Функция handleCallback декодирует и возвращает значение returnPathname без наложения ограничений на источник или схему. В результате значения, контролируемые злоумышленником, могут быть возвращены приложению. Если это значение используется напрямую для перенаправления, это может привести к перенаправлению пользователя на внешний сайт, контролируемый злоумышленником. Уязвимость исправлена в версии 0.5.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.