CVE-2022-29214

Versões do NextAuth.js anteriores à 3.29.3

Versões do NextAuth.js anteriores à 4.3.3

O problema é uma vulnerabilidade de redirecionamento aberto presente ao implementar um provedor OAuth 1, como o Twitter. Essa vulnerabilidade foi corrigida nas versões 3.29.3 e 4.3.3. Recomenda-se que os usuários do next-auth v3 atualizem para a v4, já que a v3 é considerada sem manutenção.

Para versões anteriores à 3.29.3, atualize para a versão 3.29.3 ou posterior.

Para versões anteriores à 4.3.3, atualize para a versão 4.3.3 ou posterior.

Como solução alternativa temporária para aqueles que não podem atualizar, adicione a seguinte configuração à opção callbacks:

async redirect({ url, baseUrl }) {

  if (url.startsWith(“/”)) return `${baseUrl}${url}`

  else if (new URL(url).origin === baseUrl) return url

  return baseUrl

}