Vulnerabilidad en "@next-auth/upstash-redis-adapter" (CVE-2022-39263)

"@next-auth/upstash-redis-adapter" es el adaptador de Upstash Redis para NextAuth.js, que proporciona autenticación para Next.js. Las aplicaciones que usan el proveedor de correo electrónico "next-auth" y "@next-auth/upstash-redis-adapter" versiones anteriores a 3.0.2, están afectadas por esta vulnerabilidad. La implementación del adaptador Upstash Redis no comprobaba tanto el identificador (correo electrónico) como el token, sino que sólo comprobaba el identificador cuando verificaba el token en el flujo de devolución de llamada del correo electrónico. Un atacante que conozca el correo electrónico de la víctima podría iniciar sesión fácilmente como la víctima, dado que el atacante también conoce la duración del token de verificación. La vulnerabilidad está parcheada en versión 3.0.2. Se presenta una mitigación disponible. usando la Inicialización Avanzada, los desarrolladores pueden comprobar las peticiones y comparar el token y el identificador de la consulta antes de proceder