V
Сканер-ВС
ENRU
ГлавнаяКаталогИсточникиCWECAPECATT&CKМеры защитыПродуктыВендорыДокументация
← Вернуться к списку
nvd,bdu,anchore_overrides

Auth0

Уязвимости
50
Эксплуатируемые
0
Критический
9
Высокий
20

Топ продуктов

Auth0.js7Nextjs-auth07Auth0-php5Login By Auth05Jsonwebtoken4Laravel-auth04Lock4Passport-wsfed-saml24Symfony4Wordpress3Wp-auth03Express Openid Connect2Ad\/ldap Connector1Angular-jwt1Aspnet1Aspnet-owin1Auth01Auth0.net1Auth0-wcf-service-jwt1Express-jwt1

Топ уязвимостей

CVE-2026-34236Auth0-PHP - это PHP SDK для Auth0 Authentication и Management API. От версии 8.0.0 до версии 8.19.0, в приложениях, созданных с помощью Auth0 PHP SDK, файлы cookie шифруются с недостаточной энтропией, что может привести к тому, что злоумышленники могут навязать кроль ключ шифрования и подделке сессионных файлов cookie. Этот вопрос был исправлен в версии 8.19.0.
CVE-2020-7947Проблема обнаружена в плагине Login by Auth0 до версии 4.0.0 для WordPress. Он имеет многочисленные поля, которые могут содержать данные, извлекаемые из разных источников. Одна из проблем заключается в том, что данные не очищаются и не выполняется проверка ввода перед экспортом данных пользователя. Это может привести (как минимум) к инъекции CSV, если загружен специально созданный документ Excel.
CVE-2019-7644Auth0 Auth0-WCF-Service-JWT до версии 1.0.4 раскрывает ожидаемую подпись JWT в сообщении об ошибке, когда не может успешно проверить подпись JWT. Если это сообщение об ошибке представлено злоумышленнику, он может подделать произвольный токен JWT, который будет принят уязвимым приложением.
CVE-2018-6873Служба аутентификации Auth0 до 2017-10-15 допускает повышение привилегий, поскольку аудитория JWT не проверяется.
CVE-2025-48951Auth0-PHP - это PHP SDK для Auth0 API аутентификации и управления. Версии 8.0.0-BETA3 до 8.3.1 содержат уязвимость из-за небезопасной десериализации данных cookie. При эксплуатации, поскольку SDK обрабатывает содержимое cookie без предварительной аутентификации, злоумышленник может отправить специально созданный cookie, содержащий вредоносные сериализованные данные. Приложения, использующие Auth0-PHP SDK, подвержены влиянию, как и приложения, использующие Auth0/symfony, Auth0/laravel-auth0 или Auth0/wordpress SDK, поскольку они полагаются на версии Auth0-PHP SDK от 8.0.0-BETA3 до 8.14.0 [1]. Версия 8.3.1 содержит исправление для этой проблемы. Источники: - [1] https://github.com/auth0/auth0-PHP/security/advisories/GHSA-v9m8-9xxp-q492 - [2] https://github.com/auth0/laravel-auth0/security/advisories/GHSA-c42h-56wx-h85q - [3] https://github.com/auth0/symfony/security/advisories/GHSA-98j6-67v3-mw34 - [4] https://github.com/auth0/wordpress/security/advisories/GHSA-862m-5253-832r - [5] https://github.com/auth0/auth0-PHP/commit/04b1f5daa8bdfebc5e740ec5ca0fb2df1648a715
CVE-2025-46572Пакет passport-wsfed-saml2 предоставляет стратегию паспорта как для WS-fed, так и для протокола SAML2. Уязвимость, присутствующая начиная с версии 3.0.5 и до версии 4.6.3 включительно, позволяет злоумышленнику выдать себя за любого пользователя во время аутентификации SAML, создавая SAMLResponse. Это можно сделать, используя действительный объект SAML, подписанный настроенным IdP [1]. Пользователи подвержены влиянию, если поставщик услуг использует passport-wsfed-saml2 и может быть получен действительный документ SAML, подписанный поставщиком идентификации. Исправление доступно в версии 4.6.4. Для более подробной информации об уязвимости и способах ее устранения рекомендуется обратиться к официальному уведомлению о безопасности GHSA-wjmp-wphq-jvqf [2]. Источники: - [1] https://github.com/auth0/passport-wsfed-saml2/security/advisories/GHSA-wjmp-wphq-jvqf - [2] https://github.com/auth0/passport-wsfed-saml2/commit/e5cf3cc2a53748207f7a81bfba9195c8efa94181
CVE-2025-47275Auth0-PHP предоставляет PHP SDK для API аутентификации и управления Auth0. Начиная с версии 8.0.0-BETA1 и до версии 8.14.0, файлы cookie сеанса приложений, использующих SDK Auth0-PHP, настроенный с помощью CookieStore, имеют аутентификационные теги, которые могут быть подобраны методом перебора, что может привести к несанкционированному доступу [1]. Источники: - [1] https://github.com/auth0/auth0-PHP/security/advisories/GHSA-g98g-r7gf-2r25 - [2] https://github.com/auth0/laravel-auth0/security/advisories/GHSA-9fwj-9mjf-rhj3 - [3] https://github.com/auth0/symfony/security/advisories/GHSA-9wg9-93h9-j8ch - [4] https://github.com/auth0/wordpress/security/advisories/GHSA-2f4r-34m4-3w8q - [5] https://github.com/auth0/auth0-PHP/commit/52a79480fdb246f59dbc089b81a784ae049bd389
CVE-2020-15240omniauth-auth0 (rubygems) версии >= 2.3.0 и < 2.4.1 неправильно проверяют подпись токена JWT при использовании метода `jwt_validator.verify`. Неправильная проверка подписи токена JWT может позволить злоумышленнику обойти аутентификацию и авторизацию. Вы подвержены этой уязвимости, если выполняются все следующие условия: 1. Вы используете `omniauth-auth0`. 2. Вы используете метод `JWTValidator.verify` напрямую ИЛИ вы не проходите аутентификацию с использованием потока кода авторизации SDK по умолчанию. Проблема исправлена в версии 2.4.1.
CVE-2020-15084В express-jwt (пакет NPM) вплоть до версии 5.3.3 не обеспечивается соблюдение записи algorithms, указанной в конфигурации. Если algorithms не указан в конфигурации, в сочетании с jwks-rsa это может привести к обходу авторизации. Вы подвержены этой уязвимости, если выполняются все следующие условия: - Вы используете express-jwt - У вас не настроен **algorithms** в вашей конфигурации express-jwt. - Вы используете библиотеки, такие как jwks-rsa, в качестве **secret**. Вы можете исправить это, указав **algorithms** в конфигурации express-jwt. См. связанный GHSA для примера. Это также исправлено в версии 6.0.0.
CVE-2021-41246Express OpenID Connect — это промежуточное программное обеспечение express JS, реализующее вход в систему для веб-приложений Express с использованием OpenID Connect. Версии до и включая `2.5.1` не регенерируют идентификатор сеанса и файл cookie сеанса при входе пользователя в систему. Такое поведение открывает приложение для различных уязвимостей фиксации сеанса. Версии `2.5.2` содержат исправление для этой проблемы.
CVE-2020-7948Проблема обнаружена в плагине Login by Auth0 до версии 4.0.0 для WordPress. Пользователь может выполнить небезопасную прямую ссылку на объект.
CVE-2020-5391Уязвимости межсайтовой подделки запросов (CSRF) существуют в плагине Auth0 до версии 4.0.0 для WordPress через поле домена.
CVE-2020-15259Панель администратора ad-ldap-connector до версии 5.0.13 не обеспечивает защиту csrf, что при эксплуатации может привести к удаленному выполнению кода или потере конфиденциальных данных. Эксплойты CSRF могут возникать, если пользователь посещает вредоносную страницу, содержащую полезную нагрузку CSRF, на той же машине, которая имеет доступ к консоли администратора ad-ldap-connector через браузер. Вы можете быть затронуты, если вы используете консоль администратора, включенную в ad-ldap-connector версий <=5.0.12. Если у вас не включена консоль администратора ad-ldap-connector или вы не посещаете какие-либо другие общедоступные URL-адреса, находясь на машине, на которой она установлена, вы не затронуты. Проблема исправлена в версии 5.0.13.
CVE-2018-7307Библиотека Auth0 Auth0.js до версии 9.3 имеет CSRF, поскольку неправильно обрабатывает случай, когда в ответе авторизации отсутствует параметр state.
CVE-2018-6874CSRF существует в службе аутентификации Auth0 до 14591, если включен флаг Legacy Lock API.
CVE-2018-15121Обнаружена проблема в Auth0 auth0-aspnet и auth0-aspnet-owin. Затронутые пакеты не используют и не проверяют параметр состояния протоколов OAuth 2.0 и OpenID Connect. Это делает приложения уязвимыми для CSRF-атак во время операций аутентификации и авторизации.
CVE-2025-46573Библиотека passport-wsfed-saml2 предоставляет стратегию passport как для WS-fed, так и для протокола SAML2. Уязвимость, присутствующая начиная с версии 3.0.5 и до версии 4.6.3 включительно, позволяет злоумышленнику выдать себя за любого пользователя во время SAML-аутентификации путем изменения валидного SAML-ответа. Это можно сделать путем добавления атрибутов к ответу. Пользователи подвержены влиянию, если поставщик услуг использует `passport-wsfed-saml2` и может получить валидный SAML-ответ, подписанный Identity Provider. Версия 4.6.4 содержит исправление для этой уязвимости [1, 2]. Источники: - [1] https://github.com/auth0/passport-wsfed-saml2/security/advisories/GHSA-8gqj-226h-gm8r - [2] https://github.com/auth0/passport-wsfed-saml2/commit/e5cf3cc2a53748207f7a81bfba9195c8efa94181
CVE-2022-23539Версии <= 8.5.1 библиотеки `jsonwebtoken` могут быть некорректно настроены, так что могут использоваться устаревшие, небезопасные типы ключей для проверки подписи. Например, для алгоритма RS256 могут использоваться ключи DSA. Вы подвержены риску, если используете алгоритм и тип ключа, отличные от комбинации, перечисленной в Уведомлении о безопасности GitHub как не подверженные риску. Эта проблема была исправлена, обновите до версии 9.0.0. Эта версия проверяет комбинации типов ключей и алгоритмов. Пожалуйста, обратитесь к вышеупомянутым комбинациям алгоритмов/типов ключей для действительной безопасной конфигурации. После обновления до версии 9.0.0, если вы все еще намереваетесь продолжать подписывать или проверять токены, используя недействительные комбинации значений типов ключей/алгоритмов, вам необходимо установить опцию `allowInvalidAsymmetricKeyTypes` в значение `true` в функциях `sign()` и/или `verify()`.
CVE-2017-16897В библиотеке Auth0 passport-wsfed-saml2 обнаружена уязвимость, затрагивающая версии < 3.0.5. Эта уязвимость позволяет злоумышленнику выдавать себя за другого пользователя и потенциально повышать свои привилегии, если поставщик удостоверений SAML не подписывает полный ответ SAML (например, подписывает только утверждение в ответе).
CVE-2025-48947SDK Auth0 Next.js - библиотека для реализации аутентификации пользователей в приложениях Next.js. В версиях Auth0 Next.js SDK от 4.0.1 до 4.6.0 файлы cookie `__session`, установленные auth0.middleware, могут быть закэшированы CDN из-за отсутствия заголовков Cache-Control [1]. Чтобы быть затронутым этой уязвимостью, должны быть выполнены три условия: использование NextJS-Auth0 SDK версий между 4.0.1 и 4.6.0, использование CDN или кэширования на краю, кэширующего ответы с заголовком Set-Cookie, и отсутствие надлежащей настройки заголовка Cache-Control для чувствительных ответов. Рекомендуется обновить auth0/nextjs-auth0 до версии v4.6.1. Источники: - [1] https://github.com/auth0/nextjs-auth0/security/advisories/GHSA-f3fg-mf2q-fj3f
CVE-2020-15125В auth0 (пакет npm) в версиях до 2.27.1 используется DenyList определенных ключей, которые следует очищать из объекта запроса, содержащегося в объекте ошибки. Ключ для заголовка Authorization не очищается, и в некоторых случаях значение заголовка Authorization может быть зарегистрировано, что приведет к раскрытию токена bearer. Эта уязвимость затрагивает вас, если вы используете пакет auth0 npm и используете приложение Machine to Machine, авторизованное для использования API управления Auth0.
CVE-2025-68129Auth0-PHP - это PHP SDK для Auth0 Authentication and Management API. В приложениях, построенных с Auth0-PHP SDK, проверка аудитории в токенах доступа выполняется неправильно. Без надлежащей проверки затронутые приложения могут принимать токены ID в качестве токенов Access. Проекты затрагиваются, если они используют версии Auth0-PHP SDK между v8.0.0 и v8.17.0 или приложения, использующие следующие SDK, которые полагаются на версии Auth0-PHP SDK между v8.0.0 и v8.17.0: Auth0/symfony версии между 5.0.0 и 5.5.0, Auth0/laravel-auth0плагин-версии между 5.0.0-BETA0 и 5.4.0. Auth0/Auth0-PHP версии 8.18.0 содержит патч для выпуска.
CVE-2025-65945auth0/node-jws является реализацией веб-подписи JSON для Node.js. В версиях 3.2.2 и ранее и версии 4.0.0 auth0/node-jws имеет неправильную уязвимость проверки подписи при использовании алгоритма HS256 в определенных условиях. Приложения затрагиваются, когда они используют функцию jws.createVerify() для алгоритмов HMAC и используют данные, предоставляемые пользователем, из защищенного заголовка JSON Web Signature или полезной нагрузки в процедурах секретного поиска HMAC, что может позволить злоумышленникам обойти проверку сигнатуры. Эта проблема была исправлена в версиях 3.2.3 и 4.0.1.
CVE-2022-23505Passport-wsfed-saml2 — это протокол ws-federation и поставщик аутентификации токенов SAML2 для Passport. В версиях до 4.6.3 удаленный злоумышленник может обойти аутентификацию WSFed на веб-сайте, используя passport-wsfed-saml2. Для успешной атаки требуется, чтобы злоумышленник владел произвольным утверждением, подписанным IDP. В зависимости от используемого IDP также могут быть возможны полностью неаутентифицированные атаки (например, без доступа к действительному пользователю), если можно инициировать создание подписанного сообщения. Эта проблема исправлена в версии 4.6.3. Обходным путем является использование аутентификации SAML2 вместо WSFed.
CVE-2019-16929Auth0 auth0.net до 6.5.4 имеет неправильный контроль доступа, поскольку IdentityTokenValidator можно случайно использовать для проверки ненадежных идентификационных токенов.
Открыть в каталоге с фильтром по вендору →