Średnia

NextAuth.js default redirect callback vulnerable to open redirects

Ujawniono: 22.04.2022
Aktualizacja: 11.10.2026 10:22

next-auth v3 users before version 3.29.2 are impacted. (We recommend upgrading to v4 in most cases. See our migration guide).next-auth v4 users before version 4.3.2 are impacted. Upgrading to 3.29.2 or 4.3.2 will patch this vulnerability. If you are not able to upgrade for any reason, you can add a configuration to your callbacks option:

// async redirect(url, baseUrl) { // v3
async redirect({ url, baseUrl }) { // v4
    // Allows relative callback URLs
    if (url.startsWith("/")) return new URL(url, baseUrl).toString()
    // Allows callback URLs on the same origin
    else if (new URL(url).origin === baseUrl) return url
    return baseUrl
}

If you already have a redirect callback, make sure that you match the incoming url origin against the baseUrl.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	next-auth	< 3.29.2, >= 4.0.0, < 4.3.2	3.29.2, 4.3.2

Odnośniki

Ocena CVSS 6.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N
Słabość (CWE): CWE-290, CWE-601
Platforma: npm
Paczka: next-auth
Ujawniono: 22.04.2022
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-f9wg-5f46-cjmw - CC BY 4.0

Historia podatności: next-auth

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (14) w archiwum

Wszystkich wpisów: 14
Pierwsza → ostatnia: 02.2021 07.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 3
Wysoka 4
Średnia 5
Niska 2

Ujawnienia w latach

2021: 1
2022: 6
2023: 2
2024: 0
2025: 1
2026: 4

23.07.2026

Auth.js: Configuration errors can cause existence-based auth checks to fail open (auth object populated with an error)

Krytyczna CVE-2026-73421 >= 5.0.0-beta.0, < 5.0.0-beta.32 5.0.0-beta.32
23.07.2026

Auth.js: getToken() throws an uncaught exception on malformed Bearer authorization headers

Wysoka · 7.5 CVE-2026-73418 >= 5.0.0-beta.0, < 5.0.0-beta.32, >= 4.0.6, < 4.24.15 5.0.0-beta.32, 4.24.15
23.07.2026

Auth.js: Email normalizer validates the address before Unicode normalization, allowing a homoglyph @ bypass

Krytyczna CVE-2026-73420 >= 4.10.3, < 4.24.15, >= 5.0.0-beta.1, < 5.0.0-beta.32 4.24.15, 5.0.0-beta.32
13.03.2023

Missing proper state, nonce and PKCE checks for OAuth authentication

Wysoka · 8.1 CVE-2023-27490 < 4.20.1 4.20.1
02.08.2022

NextAuth.js before 4.10.3 and 3.29.10 sending verification requests (magic link) to unwanted emails

Krytyczna · 9.1 CVE-2022-35924 >= 4.0.0, < 4.10.3, < 3.29.10 4.10.3, 3.29.10
06.07.2022

Improper handling of email input

Wysoka · 7.1 CVE-2022-31127 < 3.29.8, >= 4.0.0, < 4.9.0 3.29.8, 4.9.0
21.06.2022

Improper Handling of `callbackUrl` parameter in next-auth

Wysoka · 7.5 CVE-2022-31093 < 3.29.5, >= 4.0.0, < 4.5.0 3.29.5, 4.5.0
22.04.2022

NextAuth.js default redirect callback vulnerable to open redirects ten wpis

Średnia · 6.1 CVE-2022-24858 < 3.29.2, >= 4.0.0, < 4.3.2 3.29.2, 4.3.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację