Güvenlik açığı son sürümlerde düzeltildi
Bir NPM paketindeki kritik bir kimlik doğrulama atlama hatası, kötü niyetli bir aktörün kurbanın e-posta hesabını ele geçirmesine izin verebilir.
CVSS puanı 9,1 olarak derecelendirilen güvenlik açığı, next.js uygulamaları için açık kaynaklı bir kimlik doğrulama paketi olan Nextauth.js’de mevcuttu.
4.10.3 veya 3.29.10’dan önceki sürümleri kullanan NPM paketinin next-auth kullanıcıları hatadan etkileniyor, bir güvenlik tavsiyesi uyarıyor.
En son web güvenliği güvenlik açığı haberlerini okuyun
Saldırgan, örneğin oturum açma uç noktasına virgülle ayrılmış bir e-posta listesi gönderen bir istekte bulunabilirse, Nextauth.js hem saldırgana hem de kurbanın e-posta adreslerine e-posta gönderir.
Saldırgan daha sonra e-posta adresi olan yeni oluşturulmuş bir kullanıcı olarak oturum açabilir.
Geri aramada olduğu gibi temel yetkilendirme, geliştiriciye bir tehdit iletemez ve saldırganın @attacker.com adresiyle bile yetkilendirmeyi atlamasına izin verir.
Yamalı
Güvenlik açığı, v4.10.3 ve v3.29.10’daki bakımcılar tarafından, oturum açma uç noktasına başka bir yerden erişmeden önce gönderilen e-posta değeri normalleştirilerek düzeltildi.
Bakımcılar, “Ayrıca, sisteminizin geçerli bir e-posta adresi olarak kabul ettiği şey için gereksinimlerinizi daha da değiştirebileceğiniz yapılandırmaya bir geri arama ekledik” diye yazdı.
Yama yapamayan kullanıcılar için ayrıntılı bir geçici çözüm de mevcuttur, ancak en son sürüme güncelleme yapılması önerilir.
ŞUNLAR DA HOŞUNUZA GİDEBİLİR Açık kaynaklı web uygulamalarındaki üçlü XSS hatası, sistemden tamamen ödün verilmesine neden olabilir