CVE-2025-63700

Clerk-js 5.88.0의 OAuth 인증 우회

영향받는 제품

• 공급업체: Clerk Inc. (clerk.dev / clerk.com)
• 제품: Clerk-js (@clerk/clerk-js)
• 영향받는 버전: 5.88.0
• 영향: OAuth 인증 우회
• CWE-290: 스푸핑에 의한 인증 우회

버그 작성자

• Hasnat Ibrahim Nishat - <a href=https://www.linkedin.com/in/hasnat-ibrahim-nishat>LinkedIn
• Md Foysal Hossain - <a href=https://www.linkedin.com/in/authfoysal>LinkedIn
• Md Asadujjaman Noor - <a href=https://www.linkedin.com/in/g0lda>LinkedIn

설명

Clerk-js (@clerk/clerk-js) 5.88.0에서 공격자가 OTP 확인 단계에서 요청을 변조하여 OAuth 인증 흐름을 우회할 수 있는 취약점이 발견되었습니다. 이 문제는 특정 조건에서 허가되지 않은 계정 접근을 허용할 수 있습니다.

취약점 세부 정보

로그인 흐름 중 Clerk은 이메일 기반 OTP 및 TOTP(인증기 앱)와 같은 다양한 인증 전략을 사용합니다. 확인 단계의 결함으로 인해 요청이 하나의 인증 전략에서 다른 전략으로 변경될 수 있었고, 이로 인해 OAuth 로그인 시퀀스의 부적절한 검증이 발생했습니다. 백엔드가 인증 단계를 완전히 재검증하지 않았기 때문에 공격자는 올바른 확인 코드를 제공하지 않고도 로그인 흐름을 성공적으로 완료할 수 있었습니다.

기본 점수: 7.5 HIGH

벡터: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

영향

성공적으로 악용될 경우, 공격자는 다음을 수행할 수 있습니다:

• OAuth 확인 우회
• 대상 계정에 대한 허가되지 않은 접근 획득

참고 자료

• https://nvd.nist.gov/vuln/detail/CVE-2025-63700
• https://www.cve.org/CVERecord?id=CVE-2025-63700