Clerk: Une vulnérabilité SSRF dans la fonctionnalité opt-in clerkFrontendApiProxy peut faire fuiter des clés secrètes à un hôte non autorisé

L'impact principal de cette vulnérabilité réside dans la divulgation potentielle de la clé secrète Clerk-Secret-Key. Cette clé est cruciale pour l'authentification et l'autorisation des requêtes vers les services Clerk. Si un attaquant parvient à obtenir cette clé, il peut potentiellement compromettre la sécurité de l'application, accéder à des données sensibles, et effectuer des actions non autorisées au nom de l'utilisateur. L'exploitation réussie de cette vulnérabilité pourrait permettre un accès non autorisé aux données des utilisateurs et une manipulation des fonctionnalités de l'application. Bien que la fonctionnalité frontendApiProxy ne soit pas activée par défaut, les applications qui l'ont activée sont particulièrement vulnérables.

Applications built with @clerk/backend that have explicitly enabled the frontendApiProxy feature are at risk. This includes applications utilizing Clerk's authentication and authorization services and relying on the Clerk-Secret-Key for secure operation. Developers who have not recently reviewed their dependencies or are using older versions of @clerk/backend are particularly vulnerable.

• nodejs / server:

  npm list @clerk/backend

• nodejs / server:

  grep -r 'clerkFrontendApiProxy' ./src

• nodejs / server:

  find ./node_modules -name "@clerk/backend*" -print0 | xargs -0 npm ls

1. 2026-03-27Disclosure

   disclosure

1. Réservé2026-03-25
2. Publiée2026-03-27
3. Modifiée2026-04-06
4. EPSS mis à jour2026-04-09

La mitigation la plus efficace consiste à mettre à jour la bibliothèque @clerk/backend vers la version 3.2.3 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures d'atténuation temporaires peuvent être mises en place. Il est crucial de désactiver la fonctionnalité frontendApiProxy si elle n'est pas essentielle. En outre, une validation stricte des entrées utilisateur et une configuration appropriée du pare-feu peuvent aider à réduire le risque d'exploitation. Après la mise à jour, vérifiez la configuration de votre application pour vous assurer que la fonctionnalité frontendApiProxy est utilisée de manière sécurisée et que la clé secrète Clerk-Secret-Key est correctement protégée.