CVE-2026-73421
Publiée le 2026-08-13 · Dernière modification le 2026-08-18
Les applications utilisant les versions 5.0.0-beta.0 à 5.0.0-beta.31 de NextAuth.js sont concernées si elles vérifient l'authentification en se contentant de vérifier l'existence d'un objet de session. Si le serveur est mal configuré (par exemple, s'il manque la variable `AUTH_SECRET`), le système peut renvoyer un objet d'erreur évalué comme « vrai », permettant ainsi à tout visiteur non authentifié de contourner les contrôles d'accès. Cette faille ne nécessite aucun privilège particulier ni interaction de l'utilisateur, mais elle ne se produit que lorsque la configuration du serveur de l'application est défaillante.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
NextAuth.js provides authentication for Next.js. From next-auth 5.0.0-beta.0 until 5.0.0-beta.32, applications that gate access by checking only for the existence of the auth object returned by the auth() wrapper can fail open when Auth.js has a server configuration error. In middleware, Route Handlers, React Server Components, and other auth() entry points, a non-OK session response is parsed into a truthy error object instead of null, so checks such as !!auth and if (req.auth) evaluate to true for unauthenticated requests. A provider missing both the issuer and authorization endpoint triggers InvalidEndpoints, and an unset AUTH_SECRET or another server configuration error can produce the same behavior. There is no impact while configuration is valid, but after a deployment becomes misconfigured, routes protected only by session existence silently grant access to every visitor. This issue is fixed in next-auth 5.0.0-beta.32.