The AuthKit React Router Library rendered sensitive auth data in HTML
In versions before 0.7.0, @workos-inc/authkit-react-router exposed sensitive authentication artifacts — specifically sealedSession and accessToken by returning them from the authkitLoader. This caused them to be rendered into the browser HTML.
Impact
This information disclosure could lead to session hijacking in environments where cross-site scripting (XSS), malicious browser extensions, or local inspection is possible.
Patches
Patched in https://github.com/workos/authkit-react-router/releases/tag/v0.7.0
In patched versions:
sealedSessionandaccessTokenare no longer returned by default from theauthkitLoader.- A secure server-side mechanism is provided to fetch an access token as needed.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @workos-inc/authkit-react-router | < 0.7.0 | 0.7.0 |
Referencias
- https://github.com/workos/authkit-react-router/security/advisories/GHSA-vqvc-9q8x-vmq6
- https://nvd.nist.gov/vuln/detail/CVE-2025-55008
- https://github.com/workos/authkit-react-router/commit/607caac658784962bab76e227f9c5820d0b9a9e5
- https://github.com/workos/authkit-react-router
- https://github.com/workos/authkit-react-router/releases/tag/v0.7.0
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:L- Debilidad (CWE)
CWE-200- Plataforma
- npm
- Paquete
@workos-inc/authkit-react-router- Publicada
- 08.08.2025
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-vqvc-9q8x-vmq6 - CC BY 4.0
Historial de vulnerabilidades: @workos-inc/authkit-react-router
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.