CVE-2026-42349
CVE-2026-42349 · Clerk: Authorization bypass when combining organization, billing, or reverification checks
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Cette page présente une partie des faits des sources. Consultez les avis liés pour la description complète et les versions concernées.
Clerk JavaScript is the official JavaScript repository for Clerk authentication. has(), auth.protect(), and related authorization predicates in @clerk/shared, @clerk/nextjs, @clerk/backend, and other framework SDKs can return true for certain combined authorization checks when the result should be false, allowing a gated action to proceed for a user who does not satisfy the full set of requested conditions. This call shape can be bypassed if certain conditions are met: a has() or auth.protect() call that combines a reverification check with any of role, permission, feature, or plan, or that combines a billing check (feature or plan) with a role or permission check. This vulnerability is fixed in @clerk/clerk-js 5.125.10 and 6.7.5.
CVSS 7.6 · Élevée · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
javascript
- Versions du logiciel
- >= 5.22.0, < 5.125.10: Concernée
- >= 6.0.0, < 6.7.5: Concernée
Aucun correctif publié
shared
- Versions du logiciel
- >= 3.0.0, <= 3.47.4: Concernée
- >= 4.0.0, <= 4.8.2: Concernée
Aucun correctif publié
backend
- Versions du logiciel
- >= 2.0.0, <= 2.33.2: Concernée
- >= 3.0.0, <= 3.2.13: Concernée
Aucun correctif publié
nextjs
- Versions du logiciel
- >= 6.0.0, <= 6.39.2: Concernée
- >= 7.0.0, <= 7.2.3: Concernée
Aucun correctif publié
clerk-react
- Versions du logiciel
- >= 5.9.0, <= 5.61.5: Concernée
Aucun correctif publié
react
- Versions du logiciel
- >= 6.0.0, <= 6.4.2: Concernée
Aucun correctif publié
vue
- Versions du logiciel
- >= 1.0.0, <= 1.17.20: Concernée
- >= 2.0.0, <= 2.0.15: Concernée
Aucun correctif publié
astro
- Versions du logiciel
- >= 2.0.0, <= 2.17.10: Concernée
- >= 3.0.0, <= 3.0.17: Concernée
Aucun correctif publié
nuxt
- Versions du logiciel
- >= 1.0.0, <= 1.13.28: Concernée
- >= 2.0.0, <= 2.2.4: Concernée
Aucun correctif publié
clerk-expo
- Versions du logiciel
- >= 2.2.11, <= 2.19.35: Concernée
Aucun correctif publié
expo
- Versions du logiciel
- >= 3.0.0, <= 3.2.1: Concernée
Aucun correctif publié
react-router
- Versions du logiciel
- >= 0.0.1, <= 2.4.12: Concernée
- >= 3.0.0, <= 3.1.3: Concernée
Aucun correctif publié
tanstack-react-start
- Versions du logiciel
- >= 0.0.1, <= 0.29.10: Concernée
- >= 1.0.0, <= 1.1.3: Concernée
Aucun correctif publié
chrome-extension
- Versions du logiciel
- >= 1.3.5, <= 2.9.14: Concernée
- >= 3.0.0, <= 3.1.14: Concernée
Aucun correctif publié
fastify
- Versions du logiciel
- >= 1.0.42, <= 2.6.30: Concernée
- >= 3.0.0, <= 3.1.15: Concernée
Aucun correctif publié
express
- Versions du logiciel
- >= 0.1.0, <= 1.7.78: Concernée
- >= 2.0.0, <= 2.1.5: Concernée
Aucun correctif publié
hono
- Versions du logiciel
- >= 0.0.2, <= 0.1.15: Concernée
Aucun correctif publié
@clerk/shared npm
- Plages de versions concernées
- SEMVER: ≥ 3.0.0, < 3.47.5
Mettez à jour vers 3.47.5
@clerk/shared npm
- Plages de versions concernées
- SEMVER: ≥ 4.0.0, < 4.8.3
Mettez à jour vers 4.8.3
@clerk/backend npm
- Plages de versions concernées
- SEMVER: ≥ 2.0.0, < 2.33.3
Mettez à jour vers 2.33.3
@clerk/backend npm
- Plages de versions concernées
- SEMVER: ≥ 3.0.0, < 3.2.14
Mettez à jour vers 3.2.14
@clerk/nextjs npm
- Plages de versions concernées
- SEMVER: ≥ 6.0.0, < 6.39.3
Mettez à jour vers 6.39.3
@clerk/nextjs npm
- Plages de versions concernées
- SEMVER: ≥ 7.0.0, < 7.2.4
Mettez à jour vers 7.2.4
@clerk/clerk-js npm
- Plages de versions concernées
- SEMVER: ≥ 5.22.0, < 5.125.10
Mettez à jour vers 5.125.10