Crítica

@clerk/nextjs auth() and getAuth() methods vulnerable to insecure direct object reference (IDOR)

Publicada: 12.01.2024
Actualizado: 11.10.2026 10:22

Impact

Unauthorized access or privilege escalation due to a logic flaw in auth() in the App Router or getAuth() in the Pages Router.

Affected Versions

All applications that that use @clerk/nextjs versions in the range of >= 4.7.0,< 4.29.3 in a Next.js backend to authenticate API Routes, App Router, or Route handlers. Specifically, those that call auth() in the App Router or getAuth() in the Pages Router. Only the @clerk/nextjs SDK is impacted. Other SDKs, including other Javascript-based SDKs, are not impacted.

Patches

Fix included in @clerk/nextjs@4.29.3.

References

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	@clerk/nextjs	>= 4.7.0, < 4.29.3	4.29.3

Referencias

Puntuación CVSS 9/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Debilidad (CWE): CWE-284, CWE-287, CWE-639
Plataforma: npm
Paquete: @clerk/nextjs
Publicada: 12.01.2024
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-q6w5-jg5q-47vg - CC BY 4.0

Historial de vulnerabilidades: @clerk/nextjs

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 4
Primera → última: 01.2024 04.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 2
Alta 2

Divulgaciones por año

2024: 1
2025: 1
2026: 2

30.04.2026

Clerk has an authorization bypass when combining organization, billing, or reverification checks

Alta · 8.1 CVE-2026-42349 >= 6.0.0, < 6.39.3, >= 7.0.0, < 7.2.4 6.39.3, 7.2.4
16.04.2026

Official Clerk JavaScript SDKs: Middleware-based route protection bypass

Crítica · 9.1 CVE-2026-41248 >= 5.0.0, < 5.7.6, >= 6.0.0-snapshot.vb87a27f, < 6.39.2, >= 7.0.0, < 7.2.1 5.7.6, 6.39.2, 7.2.1
09.07.2025

@clerk/backend Performs Insufficient Verification of Data Authenticity

Alta · 7.5 CVE-2025-53548 >= 6.2.10, < 6.23.3 6.23.3
12.01.2024

@clerk/nextjs auth() and getAuth() methods vulnerable to insecure direct object reference (IDOR) esta entrada

Crítica · 9.0 CVE-2024-22206 >= 4.7.0, < 4.29.3 4.29.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación