CVE-2026-123803

Nome do Software Vulnerável e Versões Afetadas SuperTokens Core versões 10.1.0 até 11.0.8 SuperTokens Core versões 11.1.0 até 11.1.3 SuperTokens Core versões 11.2.0 até 11.2.3 SuperTokens Core versões 11.3.0 até 11.3.7 SuperTokens Core versões 11.4.0 até 11.4.7 SuperTokens Core versões 12.0.0 até 12.0.10 SuperTokens Core versões 12.1.0 até 12.1.1 SuperTokens Core versão 12.2.0 SuperTokens Core versão 12.3.0

Descrição Em implantações multi-tenant usando WebAuthn com um pool de usuários compartilhado, o servidor falha ao restringir as pesquisas ao tenant solicitado e não verifica a associação ao tenant durante o login. Isso permite que um usuário com uma chave de acesso (passkey) válida em um tenant se autentique em outro tenant dentro do mesmo aplicativo, mesmo sem ter associação ao tenant de destino. O problema envolve as funções loadOptionsById Transaction() e getUserInfoByCredentialId Transaction(), bem como o método WebAuthN.signIn.

Recomendações Atualizar para a versão 11.0.9 Atualizar para a versão 11.1.4 Atualizar para a versão 11.2.4 Atualizar para a versão 11.3.8 Atualizar para a versão 11.4.8 Atualizar para a versão 12.0.11 Atualizar para a versão 12.1.2 Atualizar para a versão 12.2.1 Atualizar para a versão 12.3.1