PT-2024-19274 · Next.Js+2 · Next.Js+2
Sokratisvidros
·
Publicado
2024-01-12
·
Atualizado
2024-01-22
·
CVE-2024-22206
CVSS v3.1
9.0
Crítica
| Vetor | AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Clerk anteriores à 4.29.3
Descrição
O problema está relacionado ao acesso não autorizado ou à escalada de privilégios devido a uma falha de lógica na função
auth() no App Router ou na função getAuth() no Pages Router. Essa falha afeta aplicativos que utilizam o SDK @clerk/nextjs em um backend Next.js para autenticar rotas de API, App Router ou manipuladores de rota.Recomendações
Para versões anteriores à 4.29.3, atualize para a versão 4.29.3 para resolver o problema. Como solução alternativa temporária, considere desativar a função
auth() no App Router ou a função getAuth() no Pages Router até que o patch seja aplicado. Restrinja o acesso às rotas de API, ao App Router ou aos manipuladores de rota afetados para minimizar o risco de exploração.Exploit
Correção
Improper Access Control
Improper Authentication
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
@Clerk/Nextjs
Clerk
Next.Js