CVE-2025-63700

Bypass de Autenticação OAuth no Clerk-js 5.88.0

Produto Afetado

• Fornecedor: Clerk Inc. (clerk.dev / clerk.com)
• Produto: Clerk-js (@clerk/clerk-js)
• Versão Afetada: 5.88.0
• Impacto: Bypass de Autenticação OAuth
• CWE-290: Bypass de Autenticação por Spoofing

Autor do Bug

• Hasnat Ibrahim Nishat - <a href=https://www.linkedin.com/in/hasnat-ibrahim-nishat>LinkedIn
• Md Foysal Hossain - <a href=https://www.linkedin.com/in/authfoysal>LinkedIn
• Md Asadujjaman Noor - <a href=https://www.linkedin.com/in/g0lda>LinkedIn

Descrição

Uma vulnerabilidade foi descoberta no Clerk-js (@clerk/clerk-js) 5.88.0, onde um atacante poderia contornar o fluxo de autenticação OAuth manipulando a solicitação no estágio de verificação OTP. Esse problema poderia permitir acesso não autorizado a contas em condições específicas.

Detalhes da Vulnerabilidade

Durante o fluxo de login, o Clerk usa diferentes estratégias de autenticação, como OTP baseado em e-mail e TOTP (Aplicativo Autenticador). Uma falha na etapa de verificação permitiu que a solicitação fosse alterada de uma estratégia de autenticação para outra, resultando em validação inadequada da sequência de login OAuth. Como o backend não revalidou completamente o estágio de autenticação, um atacante poderia concluir com sucesso o fluxo de login sem fornecer o código de verificação correto.

Pontuação Base: 7.5 ALTA

Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Impacto

Se explorado com sucesso, um atacante poderia:

• Contornar a verificação OAuth
• Obter acesso não autorizado a uma conta alvo

Referências

• https://nvd.nist.gov/vuln/detail/CVE-2025-63700
• https://www.cve.org/CVERecord?id=CVE-2025-63700