CVE-2026-73420

Nome do Software Vulnerável e Versões Afetadas @auth/core versões anteriores a 0.41.3 next-auth versões anteriores a 4.24.15 next-auth versões anteriores a 5.0.0-beta.32

Description O defaultNormalizer utilizado no fluxo de login por e-mail e magic-link valida um endereço de e-mail antes de aplicar a normalização Unicode. Um invasor pode usar um caractere Unicode, como U+FF20 FULLWIDTH COMMERCIAL AT, que não é um sinal de arroba ASCII, mas é canonicalizado como um sob a normalização NFKC ou NFKD. Isso permite que o endereço passe na verificação de sinal de arroba único. Se uma biblioteca de e-mail sendVerificationRequest ou serviço de entrega a jusante aplicar a normalização Unicode, poderá detectar dois separadores de arroba e entregar o link de login sem senha para um destinatário controlado pelo invasor. Isso ocorre quando o provedor de e-mail utiliza o normalizador integrado em vez de um normalizeIdentifier personalizado e o remetente a jusante realiza a normalização Unicode. Um invasor que conheça o endereço de e-mail de uma vítima pode solicitar um magic link redirecionado para entrar como a vítima sem a interação dela.

Recommendations Atualize o @auth/core para a versão 0.41.3 ou posterior. Atualize o next-auth para a versão 4.24.15 ou posterior. Atualize o next-auth para a versão 5.0.0-beta.32 ou posterior. Como mitigação temporária, utilize um normalizeIdentifier personalizado em vez do normalizador integrado.