Wysoka

The AuthKit React Router Library rendered sensitive auth data in HTML

Ujawniono: 08.08.2025
Aktualizacja: 11.10.2026 10:22

In versions before 0.7.0, @workos-inc/authkit-react-router exposed sensitive authentication artifacts — specifically sealedSession and accessToken by returning them from the authkitLoader. This caused them to be rendered into the browser HTML.

Impact

This information disclosure could lead to session hijacking in environments where cross-site scripting (XSS), malicious browser extensions, or local inspection is possible.

Patches

Patched in https://github.com/workos/authkit-react-router/releases/tag/v0.7.0

In patched versions:

sealedSession and accessToken are no longer returned by default from the authkitLoader.
A secure server-side mechanism is provided to fetch an access token as needed.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	@workos-inc/authkit-react-router	< 0.7.0	0.7.0

Odnośniki

Ocena CVSS 7.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:L
Słabość (CWE): CWE-200
Platforma: npm
Paczka: @workos-inc/authkit-react-router
Ujawniono: 08.08.2025
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-vqvc-9q8x-vmq6 - CC BY 4.0

Historia podatności: @workos-inc/authkit-react-router

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację