CVE-2026-34076
CVE-2026-34076 · Clerk JavaScript: SSRF in the opt-in clerkFrontendApiProxy feature may leak secret keys to unintended host
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Clerk JavaScript is the official JavaScript repository for Clerk authentication. In @clerk/hono from versions 0.1.0 to before 0.1.5, @clerk/express from versions 2.0.0 to before 2.0.7, @clerk/backend from versions 3.0.0 to before 3.2.3, and @clerk/fastify from versions 3.1.0 to before 3.1.5, the clerkFrontendApiProxy function in @clerk/backend is vulnerable to Server-Side Request Forgery (SSRF). An unauthenticated attacker can craft a request path that causes the proxy to send the application's Clerk-Secret-Key to an attacker-controlled server. This issue has been patched in @clerk/hono version 0.1.5, @clerk/express version 2.0.7, @clerk/backend version 3.2.3, and @clerk/fastify version 3.1.5.
CVSS 7.4 · Hoch · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
javascript
- Softwareversionen
- @clerk/hono >= 0.1.0, < 0.1.5: Betroffen
- @clerk/express >= 2.0.0, < 2.0.7: Betroffen
- @clerk/backend >= 3.0.0, < 3.2.3: Betroffen
- @clerk/fastify >= 3.1.0, < 3.1.5: Betroffen
Keine Korrektur veröffentlicht
@clerk/backend npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 3.0.0, < 3.2.3
Auf 3.2.3 aktualisieren
@clerk/express npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 2.0.0, < 2.0.7
Auf 2.0.7 aktualisieren
@clerk/hono npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 0.1.0, < 0.1.5
Auf 0.1.5 aktualisieren
@clerk/fastify npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 3.1.0, < 3.1.5
Auf 3.1.5 aktualisieren