Auth0 Next.js SDK में अनुचित प्रॉक्सी कैश लुकअप है

CVE-2026-40155 @auth0/nextjs-auth0 SDK के संस्करण 4.12.0 से 4.17.0 को प्रभावित करता है। यह तब होता है जब कई समवर्ती अनुरोध जो नॉनस रीट्राई को ट्रिगर करते हैं, वे प्रॉक्सी कैश फ़ेचर को टोकन अनुरोध परिणामों के लिए अनुचित लुकअप करने का कारण बन सकते हैं। यह एक हमलावर को विशिष्ट परिस्थितियों में प्रमाणीकरण प्रक्रिया को बाधित या हेरफेर करने की अनुमति दे सकता है, जिससे एप्लिकेशन सुरक्षा से समझौता हो सकता है। यह भेद्यता उन अनुप्रयोगों तक सीमित है जो /me/* और /my-org/* प्रॉक्सी हैंडलर का उपयोग करते हैं और DPoP सक्षम है। इस जोखिम को कम करने के लिए संस्करण 4.18.0 या उच्चतर में अपग्रेड करना महत्वपूर्ण है।

1. आरक्षित2026-04-09
2. प्रकाशित2026-04-21
3. EPSS अद्यतन2026-04-25

अनुशंसित समाधान @auth0/nextjs-auth0 SDK को संस्करण 4.18.0 या उच्चतर में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो प्रॉक्सी कैश फ़ेचर लॉजिक को संबोधित करता है, अनुचित लुकअप को रोकता है और भेद्यता को कम करता है। यदि तत्काल अपग्रेड संभव नहीं है, तो संभावित कमजोरियों की पहचान करने के लिए अपने प्रॉक्सी और DPoP कॉन्फ़िगरेशन की सावधानीपूर्वक समीक्षा करें। टोकन अनुरोधों से संबंधित असामान्य पैटर्न के लिए एप्लिकेशन लॉग की निगरानी भी संभावित शोषण प्रयासों का पता लगाने में मदद कर सकती है। किसी भी कॉन्फ़िगरेशन परिवर्तन या SDK अपडेट के बाद पूरी तरह से परीक्षण करने की सिफारिश की जाती है।