Alta

Auth.js SDK has Improper Permission Checking

Publicada: 06.05.2026
Actualizado: 11.10.2026 10:22

Description

Under specific preconditions, the Auth0.js SDK may improperly return user profile information using a valid access token when a specifically crafted invalid ID token is provided.

Am I Affected?

Users are affected if they meet each of the following preconditions:

Applications built using Auth0.js version between 8.11.0 and 9.32.0
The application’s access control relies on rules defined in Auth0 Actions.

Affected product and versions

auth0.js SDK v8.11.0 to v9.32.0

Resolution

Upgrade auth0/auth0.js to v10.0.0 or greater.

Acknowledgements

Okta would like to thank Quan Le (@aleister1102) for their discovery and responsible disclosure.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	auth0-js	>= 8.11.0, < 10.0.0	10.0.0

Referencias

Puntuación CVSS 7.1/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
Debilidad (CWE): CWE-863
Plataforma: npm
Paquete: auth0-js
Publicada: 06.05.2026
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-8qjv-jj2q-x832 - CC BY 4.0

Historial de vulnerabilidades: auth0-js

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 12.2017 05.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 5

Divulgaciones por año

2017: 1
2018: 2
2019: 0
2020: 1
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 1

06.05.2026

Auth.js SDK has Improper Permission Checking esta entrada

Alta · 7.1 CVE-2026-42280 >= 8.11.0, < 10.0.0 10.0.0
10.04.2020

Information disclosure through error object in auth0.js

Alta · 5.5 CVE-2020-5263 >= 8.0.0, < 9.13.2 9.13.2
06.11.2018

Cross-Site Request Forgery (CSRF) in Auth0

Alta · 8.8 CVE-2018-6874 < 9.0.0 9.0.0
07.03.2018

Auth0-js bypasses CSRF checks

Alta · 8.8 CVE-2018-7307 < 9.3.0 9.3.0
21.12.2017

auth0-js Privilege Escalation Vulnerability

Alta · 7.5 CVE-2017-17068 < 8.12.0 8.12.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación