CVE-2021-32702

Versões do @auth0/nextjs-auth0 anteriores à 1.4.2

O problema diz respeito a uma vulnerabilidade XSS refletida. Um invasor pode executar código arbitrário fornecendo uma carga XSS no parâmetro de consulta error, que é então processado pelo manipulador de retorno de chamada como uma mensagem de erro. Os usuários são afetados se estiverem usando a versão 1.4.1 ou inferior do @auth0/nextjs-auth0, a menos que estejam utilizando um tratamento de erros personalizado que não retorne a mensagem de erro em uma resposta HTML.

Atualize para a versão 1.4.2 para resolver o problema. A correção adiciona escapamento HTML básico à mensagem de erro. Como solução alternativa temporária, considere usar um tratamento de erros personalizado que não retorne a mensagem de erro em uma resposta HTML para minimizar o risco de exploração.