PT-2021-19868 · Auth0 · @Auth0/Nextjs-Auth0

Git-Ishanpatel + 1 · Publicado 2021-06-25 · Atualizado 2021-07-01 · CVE-2021-32702

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do @auth0/nextjs-auth0 anteriores à 1.4.2

Descrição

O problema diz respeito a uma vulnerabilidade XSS refletida. Um invasor pode executar código arbitrário fornecendo uma carga XSS no parâmetro de consulta error, que é então processado pelo manipulador de retorno de chamada como uma mensagem de erro. Os usuários são afetados se estiverem usando a versão 1.4.1 ou inferior do @auth0/nextjs-auth0, a menos que estejam utilizando um tratamento de erros personalizado que não retorne a mensagem de erro em uma resposta HTML.

Recomendações

Atualize para a versão 1.4.2 para resolver o problema. A correção adiciona escapamento HTML básico à mensagem de erro. Como solução alternativa temporária, considere usar um tratamento de erros personalizado que não retorne a mensagem de erro em uma resposta HTML para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-32702

GHSA-954C-JJX6-CXV7

Produtos afetados

@Auth0/Nextjs-Auth0

Referências · 7

• https://github.com/auth0/nextjs-auth0/commit/6996e2528ceed98627caa28abafbc09e90163ccf · Correção
• https://github.com/auth0/nextjs-auth0/security/advisories/GHSA-954c-jjx6-cxv7 · Nota
• https://npmjs.com/package/%40auth0/nextjs-auth0 · Nota
• https://npmjs.com/package/@auth0/nextjs-auth0 · Nota
• https://osv.dev/vulnerability/GHSA-954c-jjx6-cxv7 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32702 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32702 · Nota de Segurança