CVE-2025-63700

Bypass dell'autenticazione OAuth in Clerk-js 5.88.0

Prodotto interessato

• Fornitore: Clerk Inc. (clerk.dev / clerk.com)
• Prodotto: Clerk-js (@clerk/clerk-js)
• Versione interessata: 5.88.0
• Impatto: Bypass dell'autenticazione OAuth
• CWE-290: Bypass dell'autenticazione mediante spoofing

Autore del bug

• Hasnat Ibrahim Nishat - <a href=https://www.linkedin.com/in/hasnat-ibrahim-nishat>LinkedIn
• Md Foysal Hossain - <a href=https://www.linkedin.com/in/authfoysal>LinkedIn
• Md Asadujjaman Noor - <a href=https://www.linkedin.com/in/g0lda>LinkedIn

Descrizione

È stata scoperta una vulnerabilità in Clerk-js (@clerk/clerk-js) 5.88.0 in cui un attaccante potrebbe bypassare il flusso di autenticazione OAuth manipolando la richiesta nella fase di verifica OTP. Questo problema potrebbe consentire l'accesso non autorizzato a un account in condizioni specifiche.

Dettagli della vulnerabilità

Durante il flusso di accesso, Clerk utilizza diverse strategie di autenticazione come OTP via email e TOTP (app di autenticazione). Una falla nella fase di verifica consentiva di modificare la richiesta da una strategia di autenticazione a un'altra, causando una validazione non corretta della sequenza di accesso OAuth. Poiché il backend non rivalidava completamente la fase di autenticazione, un attaccante poteva completare con successo il flusso di accesso senza fornire il codice di verifica corretto.

Punteggio base: 7.5 HIGH

Vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Impatto

Se sfruttata con successo, un attaccante potrebbe:

• Bypassare la verifica OAuth
• Ottenere accesso non autorizzato a un account bersaglio

Riferimenti

• https://nvd.nist.gov/vuln/detail/CVE-2025-63700
• https://www.cve.org/CVERecord?id=CVE-2025-63700