CVE-2026-73421

Nome do Software Vulnerável e Versões Afetadas next-auth versões 5.0.0-beta.0 até 5.0.0-beta.31

Descrição Aplicações que utilizam o wrapper auth() para controlar o acesso verificando apenas a existência do objeto retornado podem falhar abertamente durante erros de configuração do servidor. Em middleware, Route Handlers e React Server Components, uma resposta de sessão não-OK é interpretada como um objeto de erro truthy em vez de null. Consequentemente, verificações como !!auth ou if (req.auth) são avaliadas como verdadeiras para requisições não autenticadas. Este comportamento é desencadeado por erros de configuração do servidor, como um AUTH SECRET não definido ou um provedor sem os endpoints de emissor e autorização, o que dispara o InvalidEndpoints. Quando uma implantação é mal configurada, rotas protegidas apenas pela existência da sessão concedem acesso a todos os visitantes.

Recomendações Atualize para a versão 5.0.0-beta.32 do next-auth.