CVE-2025-63700

Clerk-js 5.88.0 における OAuth 認証バイパス

影響を受ける製品

• ベンダー: Clerk Inc. (clerk.dev / clerk.com)
• 製品: Clerk-js (@clerk/clerk-js)
• 影響を受けるバージョン: 5.88.0
• 影響: OAuth 認証バイパス
• CWE-290: スプーフィングによる認証バイパス

脆弱性発見者

• Hasnat Ibrahim Nishat - <a href=https://www.linkedin.com/in/hasnat-ibrahim-nishat>LinkedIn
• Md Foysal Hossain - <a href=https://www.linkedin.com/in/authfoysal>LinkedIn
• Md Asadujjaman Noor - <a href=https://www.linkedin.com/in/g0lda>LinkedIn

説明

@clerk/clerk-js 5.88.0 に、攻撃者が OTP 検証段階でリクエストを操作することにより OAuth 認証フローをバイパスできる脆弱性が発見されました。 この問題は、特定の条件下で不正なアカウントアクセスを許す可能性があります。

脆弱性の詳細

サインインフローにおいて、Clerk はメールベースの OTP や TOTP（認証アプリ）などのさまざまな認証方式を使用します。 検証ステップの欠陥により、リクエストがある認証方式から別の認証方式へ変更されることが可能となり、その結果、OAuth ログインシーケンスの検証が不適切になりました。 バックエンドが認証段階を完全に再検証しなかったため、攻撃者は正しい検証コードを提供しなくてもログインフローを正常に完了できました。

基本値: 7.5 高

ベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

影響

悪用に成功した場合、攻撃者は以下を行う可能性があります：

• OAuth 検証をバイパスする
• 対象アカウントへの不正アクセスを取得する

参考情報

• https://nvd.nist.gov/vuln/detail/CVE-2025-63700
• https://www.cve.org/CVERecord?id=CVE-2025-63700