PT-2026-71920
CVE-2026-73421
·
تاريخ النشر
2026-07-23
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات next-auth من 5.0.0-beta.0 حتى 5.0.0-beta.31
الوصف
قد تفشل التطبيقات التي تستخدم غلاف
auth() لتقييد الوصول عن طريق التحقق فقط من وجود الكائن المُرجع، وذلك أثناء حدوث أخطاء في تكوين الخادم. في البرامج الوسيطة ومعالجات المسارات ومكونات خادم React، يتم تحليل استجابة الجلسة غير الصالحة على أنها كائن خطأ صحيح بدلاً من أن تكون قيمة فارغة. ونتيجة لذلك، فإن عمليات التحقق مثل !!auth أو if (req.auth) تُقيَّم على أنها صحيحة للطلبات غير المصادق عليها. يحدث هذا السلوك بسبب أخطاء تكوين الخادم، مثل عدم تعيين AUTH SECRET أو عدم وجود نقطتي نهاية «المُصدر» و«التفويض» لدى المزود، مما يؤدي إلى ظهور InvalidEndpoints. وعندما يكون النشر غير مُكوّن بشكل صحيح، فإن المسارات المحمية بوجود الجلسة فقط تمنح الوصول لجميع الزوار.التوصيات
قم بالتحديث إلى إصدار next-auth 5.0.0-beta.32.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾