PT-2026-33516 · Auth0 · Auth0 Next.Js Sdk

Reynaldo Immanuel · Publicado 2026-04-17 · Atualizado 2026-04-28 · CVE-2026-40155

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:N

Name of the Vulnerable Software and Affected Versions Auth0 Next.js SDK versões 4.12.0 até 4.17.1

Description Requisições simultâneas que acionam uma tentativa de repetição de nonce podem fazer com que o buscador de cache do proxy realize buscas inadequadas para os resultados de requisição de token. Isso ocorre quando os projetos utilizam os manipuladores de proxy ''/me/'' e ''/my-org/'' com DPoP (Demonstrating Proof-of-Possession, um mecanismo que vincula um token a uma chave privada) habilitado.

Recommendations Atualizar para a versão 4.18.0.

Correção

Race Condition

Incorrect Authorization

Enumeração de Fraquezas

CWE-362

CWE-863

Identificadores relacionados

CVE-2026-40155

GHSA-XQ8M-7C5P-C2R6

Produtos afetados

Auth0 Next.Js Sdk

Referências · 9

• https://github.com/auth0/nextjs-auth0/security/advisories/GHSA-xq8m-7c5p-c2r6 · Aviso do Fabricante
• https://github.com/auth0/nextjs-auth0/commit/98c36dc306970c2230ea1a32efef431d29b99978 · Correção
• https://github.com/auth0/nextjs-auth0/releases/tag/v4.18.0 · Nota
• https://github.com/auth0/nextjs-auth0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40155 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-xq8m-7c5p-c2r6 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2045467393695101169 · Publicação no Twitter
• https://t.me/cveNotify/161143 · Publicação no Telegram
• https://twitter.com/_cvereports/status/2049063860808642929 · Publicação no Twitter