Mittel

NextAuth.js default redirect callback vulnerable to open redirects

Veröffentlicht: 22.04.2022
Aktualisiert: 11.10.2026 10:22

next-auth v3 users before version 3.29.2 are impacted. (We recommend upgrading to v4 in most cases. See our migration guide).next-auth v4 users before version 4.3.2 are impacted. Upgrading to 3.29.2 or 4.3.2 will patch this vulnerability. If you are not able to upgrade for any reason, you can add a configuration to your callbacks option:

// async redirect(url, baseUrl) { // v3
async redirect({ url, baseUrl }) { // v4
    // Allows relative callback URLs
    if (url.startsWith("/")) return new URL(url, baseUrl).toString()
    // Allows callback URLs on the same origin
    else if (new URL(url).origin === baseUrl) return url
    return baseUrl
}

If you already have a redirect callback, make sure that you match the incoming url origin against the baseUrl.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	next-auth	< 3.29.2, >= 4.0.0, < 4.3.2	3.29.2, 4.3.2

Verweise

CVSS-Wert 6.1/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N
Schwäche (CWE): CWE-290, CWE-601
Plattform: npm
Paket: next-auth
Veröffentlicht: 22.04.2022
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-f9wg-5f46-cjmw - CC BY 4.0

Schwachstellenhistorie: next-auth

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (14) im Archiv

Einträge insgesamt: 14
Erste → letzte: 02.2021 07.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 3
Hoch 4
Mittel 5
Niedrig 2

Veröffentlichungen pro Jahr

2021: 1
2022: 6
2023: 2
2024: 0
2025: 1
2026: 4

23.07.2026

Auth.js: Configuration errors can cause existence-based auth checks to fail open (auth object populated with an error)

Kritisch CVE-2026-73421 >= 5.0.0-beta.0, < 5.0.0-beta.32 5.0.0-beta.32
23.07.2026

Auth.js: getToken() throws an uncaught exception on malformed Bearer authorization headers

Hoch · 7.5 CVE-2026-73418 >= 5.0.0-beta.0, < 5.0.0-beta.32, >= 4.0.6, < 4.24.15 5.0.0-beta.32, 4.24.15
23.07.2026

Auth.js: Email normalizer validates the address before Unicode normalization, allowing a homoglyph @ bypass

Kritisch CVE-2026-73420 >= 4.10.3, < 4.24.15, >= 5.0.0-beta.1, < 5.0.0-beta.32 4.24.15, 5.0.0-beta.32
13.03.2023

Missing proper state, nonce and PKCE checks for OAuth authentication

Hoch · 8.1 CVE-2023-27490 < 4.20.1 4.20.1
02.08.2022

NextAuth.js before 4.10.3 and 3.29.10 sending verification requests (magic link) to unwanted emails

Kritisch · 9.1 CVE-2022-35924 >= 4.0.0, < 4.10.3, < 3.29.10 4.10.3, 3.29.10
06.07.2022

Improper handling of email input

Hoch · 7.1 CVE-2022-31127 < 3.29.8, >= 4.0.0, < 4.9.0 3.29.8, 4.9.0
21.06.2022

Improper Handling of `callbackUrl` parameter in next-auth

Hoch · 7.5 CVE-2022-31093 < 3.29.5, >= 4.0.0, < 4.5.0 3.29.5, 4.5.0
22.04.2022

NextAuth.js default redirect callback vulnerable to open redirects dieser Eintrag

Mittel · 6.1 CVE-2022-24858 < 3.29.2, >= 4.0.0, < 4.3.2 3.29.2, 4.3.2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden