Tóm tắt nhanh
- CVE-2026-42280 là lỗ hổng mức CAO (CVSS 7.1) ảnh hưởng auth0.js (auth0), auth0-js.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.21%, cao hơn 11.4% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 10.0.0 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| auth0.js | ≥ 8.11.0, < 10.0.0
| 10.0.0
|
| auth0-js npm | ≥ 8.11.0, < 10.0.0
| 10.0.0
|
Mô tả
Description
Under specific preconditions, the Auth0.js SDK may improperly return user profile information using a valid access token when a specifically crafted invalid ID token is provided.
Am I Affected?
Users are affected if they meet each of the following preconditions:
- Applications built using Auth0.js version between 8.11.0 and 9.32.0
- The application’s access control relies on rules defined in Auth0 Actions.
Affected product and versions
auth0.js SDK v8.11.0 to v9.32.0
Resolution
Upgrade auth0/auth0.js to v10.0.0 or greater.
Acknowledgements
Okta would like to thank Quan Le (@aleister1102) for their discovery and responsible disclosure.
Mô tả của NVD
Auth0.js is a client-side JavaScript library for Auth0. From 8.11.0 to 9.32.0, under specific preconditions, the Auth0.js SDK may improperly return user profile information using a valid access token when a specifically crafted invalid ID token is provided. This vulnerability is fixed in 10.0.0.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí