NextAuth.js 输入验证错误漏洞

ZEIT Next.js是ZEIT公司的一款基于Vue.js、Node.js、Webpack和Babel.js的开源Web应用框架。NextAuth.js是 Next.js 的身份验证。 Next.js 的NextAuth.js组件存在输入验证错误漏洞，该漏洞源于攻击者可以伪造向登录端点发送以逗号分隔的电子邮件列表的请求（例如：attacker@attacker.com,victim@victim.com），NextAuth.js将向攻击者和受害者的电子邮件地址发送电子邮件。然后攻击者可以以新创建的用户身份登录电子邮件，这意味允许攻击者绕过授权。以下版本受到影响：3.29.10之前的版本、4.10.3之前的版本。