CVE-2026-73420
Publiée le 2026-08-13 · Dernière modification le 2026-08-14
Les applications utilisant NextAuth.js pour l'authentification par e-mail ou par lien magique sont concernées si elles s'appuient sur le normaliseur d'e-mails par défaut et sur un service d'envoi d'e-mails en aval qui applique une normalisation Unicode. Un attaquant connaissant l'adresse e-mail d'une victime peut contourner la validation pour tromper le système et lui faire envoyer le lien de connexion de la victime vers un compte contrôlé par l'attaquant. Cela peut être réalisé à distance, sans aucune authentification ni interaction de l'utilisateur, permettant à l'attaquant de prendre totalement le contrôle du compte de la victime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
NextAuth.js provides authentication for Next.js. Prior to @auth/core 0.41.3 and next-auth 4.24.15 and 5.0.0-beta.32, the defaultNormalizer used by the email and magic-link sign-in flow validates an address before applying Unicode normalization. An address can contain a Unicode character such as U+FF20 FULLWIDTH COMMERCIAL AT that is not ASCII at-sign but canonicalizes to an ASCII at-sign under NFKC or NFKD normalization. The address passes the normalizer's single-at-sign check, but a downstream sendVerificationRequest mail library or delivery service that normalizes the address can then see two at-sign separators and deliver the passwordless sign-in link to an attacker-controlled recipient. Applications are affected when the email provider uses the built-in normalizer rather than a custom normalizeIdentifier and the downstream sender applies Unicode normalization. An attacker who knows a victim's email address can request the misrouted magic link and sign in as the victim without victim interaction. This issue is fixed in @auth/core 0.41.3 and next-auth 4.24.15 and 5.0.0-beta.32.