PT-2021-23952 · Auth0 · Auth0 Next.Js Sdk

Adamjmcgrath · Publicado 2021-12-16 · Atualizado 2021-12-22 · CVE-2021-43812

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Auth0 Next.js SDK anteriores à 1.6.2

Descrição:

O problema está relacionado ao Auth0 Next.js SDK, uma biblioteca para implementar a autenticação de usuários em aplicações Next.js. As versões anteriores à 1.6.2 não filtram determinados valores do parâmetro returnTo da URL de login, expondo a aplicação a uma vulnerabilidade de redirecionamento aberto. Recomenda-se que os usuários atualizem o mais rápido possível. Não há soluções alternativas conhecidas para este problema.

Recomendações:

Atualize para a versão 1.6.2 ou posterior, pois esta versão contém a correção necessária para o problema. Esta atualização não afetará os usuários.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2021-43812

GHSA-2MQV-4J3R-VJVP

Produtos afetados

Auth0 Next.Js Sdk

Referências · 7

• https://github.com/auth0/nextjs-auth0 · Nota
• https://github.com/auth0/nextjs-auth0/commit/0bbd9f8a0c93af51f607f28633b5fb18c5e48ad6 · Correção
• https://github.com/auth0/nextjs-auth0/security/advisories/GHSA-2mqv-4j3r-vjvp · Nota
• https://osv.dev/vulnerability/GHSA-2mqv-4j3r-vjvp · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-43812 · Aviso do Fabricante
• https://t.me/cibsecurity/34171 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-43812 · Nota de Segurança