@workos-inc/authkit-nextjs session replay vulnerability

高 8.1CVE-2024-29901 · GHSA-35w3-6qhc-474v · 29/03/2024 公開 · 17/06/2026 更新

要点

CVE-2024-29901 は authkit-nextjs (workos), @workos-inc/authkit-nextjs に影響する深刻度「高」 (CVSS 8.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.66%（全脆弱性の 51.5% より高い）。
対処：0.4.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
authkit-nextjs workos	`< 0.4.2`	`0.4.2`
@workos-inc/authkit-nextjs npm	`< 0.4.2`	`0.4.2`

概要

Impact

A user can reuse an expired session by controlling the x-workos-session header.

Patches

Patched in https://github.com/workos/authkit-nextjs/releases/tag/v0.4.2

NVD の説明

The AuthKit library for Next.js provides helpers for authentication and session management using WorkOS & AuthKit with Next.js. A user can reuse an expired session by controlling the `x-workos-session` header. The vulnerability is patched in v0.4.2.