CVE-2025-63700

Omisión de Autenticación OAuth en Clerk-js 5.88.0

Producto Afectado

• Proveedor: Clerk Inc. (clerk.dev / clerk.com)
• Producto: Clerk-js (@clerk/clerk-js)
• Versión Afectada: 5.88.0
• Impacto: Omisión de Autenticación OAuth
• CWE-290: Omisión de Autenticación por Suplantación

Autor del Error

• Hasnat Ibrahim Nishat - <a href=https://www.linkedin.com/in/hasnat-ibrahim-nishat>LinkedIn
• Md Foysal Hossain - <a href=https://www.linkedin.com/in/authfoysal>LinkedIn
• Md Asadujjaman Noor - <a href=https://www.linkedin.com/in/g0lda>LinkedIn

Descripción

Se descubrió una vulnerabilidad en Clerk-js (@clerk/clerk-js) 5.88.0 donde un atacante podría omitir el flujo de autenticación OAuth manipulando la solicitud en la etapa de verificación OTP. Este problema podría permitir acceso no autorizado a cuentas bajo condiciones específicas.

Detalles de la Vulnerabilidad

Durante el flujo de inicio de sesión, Clerk utiliza diferentes estrategias de autenticación como OTP basado en correo electrónico y TOTP (Aplicación Autenticadora). Una falla en el paso de verificación permitió que la solicitud se alterara de una estrategia de autenticación a otra, lo que resultó en una validación incorrecta de la secuencia de inicio de sesión OAuth. Debido a que el backend no volvía a validar completamente la etapa de autenticación, un atacante podía completar con éxito el flujo de inicio de sesión sin proporcionar el código de verificación correcto.

Puntuación Base: 7.5 ALTA

Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Impacto

Si se explota con éxito, un atacante podría:

• Omitir la verificación OAuth
• Obtener acceso no autorizado a una cuenta objetivo

Referencias

• https://nvd.nist.gov/vuln/detail/CVE-2025-63700
• https://www.cve.org/CVERecord?id=CVE-2025-63700