FICHE CVE

CVE-2025-64762

Publiée le 2025-11-21 · Dernière modification le 2026-10-07

🇫🇷 EN BREF

Les applications Next.js utilisant la bibliothèque AuthKit (version 2.11.0 et versions antérieures) avec un CDN activé sont affectées par un défaut de mise en cache. Un attaquant pourrait potentiellement détourner la session d'un autre utilisateur en recevant une réponse mise en cache contenant le jeton de session d'un utilisateur précédent. Cela peut se produire automatiquement via le réseau, sans nécessiter d'authentification ni d'interaction de l'utilisateur.

CVSS 4.08.0 ÉLEVÉE

Type de faiblesse

CWE-524

Publiée2025-11-21

Dernière modification2026-10-07

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitNon signalée

RÉFÉRENCES

Description officielle du NVD (en anglais)

The AuthKit library for Next.js provides convenient helpers for authentication and session management using WorkOS & AuthKit with Next.js. In authkit-nextjs version 2.11.0 and below, authenticated responses do not defensively apply anti-caching headers. In environments where CDN caching is enabled, this can result in session tokens being included in cached responses and subsequently served to multiple users. Next.js applications deployed on Vercel are unaffected unless they manually enable CDN caching by setting cache headers on authenticated paths. Patched in authkit-nextjs 2.11.1, which applies anti-caching headers to all responses behind authentication.