CVE-2026-73418 in next-auth
Сводка
по VulDB • 12.08.2026
NextAuth.js обеспечивает аутентификацию для Next.js. До версий @auth/core 0.41.3, next-auth 4.24.15 и 5.0.0-beta.32 экспортируемая вспомогательная функция getToken() в модулях next-auth/jwt и @auth/core/jwt может вызывать необработанное исключение при чтении некорректного заголовка Authorization: Bearer. Если куки сессии отсутствуют, getToken() выполняет URL-декодирование значения bearer перед его проверкой, а некорректный percent encoding приводит к выбросу исключения функцией decodeURIComponent(), вместо того чтобы считать токен недействительным. Поскольку функция getToken() обычно вызывается в API-маршрутах (API routes), промежуточном программном обеспечении (middleware) и обработчиках запросов на стороне сервера, один единственный неавторизованный запрос может спровоцировать необработанное исключение в путях выполнения кода, отвечающих за аутентификацию запросов, что приводит к отказу в обслуживании для каждого отдельного запроса (per-request denial of service) без раскрытия токенов, сессий или других данных и без обхода механизма аутентификации. Эта проблема исправлена в версиях @auth/core 0.41.3, next-auth 4.24.15 и 5.0.0-beta.32.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.