CVE-2026-42349
CVE-2026-42349 · Clerk: Authorization bypass when combining organization, billing, or reverification checks
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Diese Seite zeigt ausgewählte Angaben aus den Quellen. Die vollständige Beschreibung und betroffene Versionen finden Sie in den verlinkten Sicherheitshinweisen.
Clerk JavaScript is the official JavaScript repository for Clerk authentication. has(), auth.protect(), and related authorization predicates in @clerk/shared, @clerk/nextjs, @clerk/backend, and other framework SDKs can return true for certain combined authorization checks when the result should be false, allowing a gated action to proceed for a user who does not satisfy the full set of requested conditions. This call shape can be bypassed if certain conditions are met: a has() or auth.protect() call that combines a reverification check with any of role, permission, feature, or plan, or that combines a billing check (feature or plan) with a role or permission check. This vulnerability is fixed in @clerk/clerk-js 5.125.10 and 6.7.5.
CVSS 7.6 · Hoch · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
javascript
- Softwareversionen
- >= 5.22.0, < 5.125.10: Betroffen
- >= 6.0.0, < 6.7.5: Betroffen
Keine Korrektur veröffentlicht
shared
- Softwareversionen
- >= 3.0.0, <= 3.47.4: Betroffen
- >= 4.0.0, <= 4.8.2: Betroffen
Keine Korrektur veröffentlicht
backend
- Softwareversionen
- >= 2.0.0, <= 2.33.2: Betroffen
- >= 3.0.0, <= 3.2.13: Betroffen
Keine Korrektur veröffentlicht
nextjs
- Softwareversionen
- >= 6.0.0, <= 6.39.2: Betroffen
- >= 7.0.0, <= 7.2.3: Betroffen
Keine Korrektur veröffentlicht
clerk-react
- Softwareversionen
- >= 5.9.0, <= 5.61.5: Betroffen
Keine Korrektur veröffentlicht
react
- Softwareversionen
- >= 6.0.0, <= 6.4.2: Betroffen
Keine Korrektur veröffentlicht
vue
- Softwareversionen
- >= 1.0.0, <= 1.17.20: Betroffen
- >= 2.0.0, <= 2.0.15: Betroffen
Keine Korrektur veröffentlicht
astro
- Softwareversionen
- >= 2.0.0, <= 2.17.10: Betroffen
- >= 3.0.0, <= 3.0.17: Betroffen
Keine Korrektur veröffentlicht
nuxt
- Softwareversionen
- >= 1.0.0, <= 1.13.28: Betroffen
- >= 2.0.0, <= 2.2.4: Betroffen
Keine Korrektur veröffentlicht
clerk-expo
- Softwareversionen
- >= 2.2.11, <= 2.19.35: Betroffen
Keine Korrektur veröffentlicht
expo
- Softwareversionen
- >= 3.0.0, <= 3.2.1: Betroffen
Keine Korrektur veröffentlicht
react-router
- Softwareversionen
- >= 0.0.1, <= 2.4.12: Betroffen
- >= 3.0.0, <= 3.1.3: Betroffen
Keine Korrektur veröffentlicht
tanstack-react-start
- Softwareversionen
- >= 0.0.1, <= 0.29.10: Betroffen
- >= 1.0.0, <= 1.1.3: Betroffen
Keine Korrektur veröffentlicht
chrome-extension
- Softwareversionen
- >= 1.3.5, <= 2.9.14: Betroffen
- >= 3.0.0, <= 3.1.14: Betroffen
Keine Korrektur veröffentlicht
fastify
- Softwareversionen
- >= 1.0.42, <= 2.6.30: Betroffen
- >= 3.0.0, <= 3.1.15: Betroffen
Keine Korrektur veröffentlicht
express
- Softwareversionen
- >= 0.1.0, <= 1.7.78: Betroffen
- >= 2.0.0, <= 2.1.5: Betroffen
Keine Korrektur veröffentlicht
hono
- Softwareversionen
- >= 0.0.2, <= 0.1.15: Betroffen
Keine Korrektur veröffentlicht
@clerk/shared npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 3.0.0, < 3.47.5
Auf 3.47.5 aktualisieren
@clerk/shared npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 4.0.0, < 4.8.3
Auf 4.8.3 aktualisieren
@clerk/backend npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 2.0.0, < 2.33.3
Auf 2.33.3 aktualisieren
@clerk/backend npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 3.0.0, < 3.2.14
Auf 3.2.14 aktualisieren
@clerk/nextjs npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 6.0.0, < 6.39.3
Auf 6.39.3 aktualisieren
@clerk/nextjs npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 7.0.0, < 7.2.4
Auf 7.2.4 aktualisieren
@clerk/clerk-js npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 5.22.0, < 5.125.10
Auf 5.125.10 aktualisieren