> NextAuth.js 输入验证错误漏洞

NextAuth.js 输入验证错误漏洞

CNNVD-ID编号	CNNVD-202208-2038	CVE编号	CVE-2022-35924
发布时间	2022-08-02	更新时间	2022-08-03
漏洞类型	输入验证错误	漏洞来源	N/A
危险等级	N/A	威胁类型	N/A
厂商	N/A

漏洞介绍

ZEIT Next.js是ZEIT公司的一款基于Vue.js、Node.js、Webpack和Babel.js的开源Web应用框架。NextAuth.js是 Next.js 的身份验证。 Next.js 的NextAuth.js组件存在输入验证错误漏洞，该漏洞源于攻击者可以伪造向登录端点发送以逗号分隔的电子邮件列表的请求（例如：[email protected],[email protected]），NextAuth.js将向攻击者和受害者的电子邮件地址发送电子邮件。然后攻击者可以以新创建的用户身份登录电子邮件，这意味允许攻击者绕过授权。以下版本受到影响：3.29.10之前的版本、4.10.3之前的版本。

漏洞补丁

目前厂商已发布升级了NextAuth.js 输入验证错误漏洞的补丁，NextAuth.js 输入验证错误漏洞的补丁获取链接： https://github.com/nextauthjs/next-auth/security/advisories/GHSA-xv97-c62v-4587

参考网址

来源:MISC

链接：https://next-auth.js.org/configuration/callbacks#sign-in-callback

来源:CONFIRM

链接：https://github.com/nextauthjs/next-auth/security/advisories/GHSA-xv97-c62v-4587

来源:MISC

链接：https://en.wikipedia.org/wiki/Email_address#Local-part

来源:MISC

链接：https://next-auth.js.org/providers/email#normalizing-the-e-mail-address

来源:MISC

链接：https://github.com/nextauthjs/next-auth/commit/afb1fcdae3cc30445038ef588e491d139b916003

来源:MISC

链接：https://next-auth.js.org/configuration/initialization#advanced-initialization

来源:MISC

链接：https://nodemailer.com/message/addresses

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202208-2038