Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-14673

Опубликовано: 20 нояб. 2025
Источник: fstec
CVSS3: 9.1
CVSS2: 9.4
EPSS Низкий

Описание

Уязвимость библиотеки AuthKit программной платформы создания веб-приложений Next.js связана с раскрытием информации посредством кэширования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации

Вендор

WorkOS Inc.

Наименование ПО

AuthKit

Версия ПО

до 2.11.1 (AuthKit)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://github.com/workos/authkit-nextjs/security/advisories/GHSA-p8pf-44ff-93gf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 27%
0.00096
Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.1
nvd
3 месяца назад

The AuthKit library for Next.js provides convenient helpers for authentication and session management using WorkOS & AuthKit with Next.js. In authkit-nextjs version 2.11.0 and below, authenticated responses do not defensively apply anti-caching headers. In environments where CDN caching is enabled, this can result in session tokens being included in cached responses and subsequently served to multiple users. Next.js applications deployed on Vercel are unaffected unless they manually enable CDN caching by setting cache headers on authenticated paths. Patched in authkit-nextjs 2.11.1, which applies anti-caching headers to all responses behind authentication.

github
3 месяца назад

authkit-nextjs may let session cookies be cached in CDNs

EPSS

Процентиль: 27%
0.00096
Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2