Exposição de Auth0

Authentication
27
score de exposição
937
sites usam
0
em exploração
3
críticos
Análise Vexday

Auth0 acumula 31 CVEs catalogadas, das quais nenhuma consta no catálogo KEV da CISA, indicando taxa de exploração ativa abaixo da média geral do catálogo — o que sugere menor pressão imediata de ataques oportunistas. Ainda assim, há 3 vulnerabilidades de severidade crítica e 3 surgidas nos últimos 90 dias, o que demanda atenção contínua ao ciclo de atualização. O tipo de falha mais recorrente é CWE-287 (autenticação imprópria), padrão particularmente sensível para uma solução de gerenciamento de identidade, pois falhas nessa categoria podem comprometer fluxos inteiros de autenticação. A CVE mais relevante no momento é CVE-2020-15125, com EPSS de 0,0154, indicando probabilidade de exploração ainda baixa, mas que deve ser monitorada dado o contexto crítico da plataforma.

CVEs

31 resultados
CVE-2021-32641HIGHReflected XSS when using flashMessagesEPSS 1.5%CVE-2020-15125HIGHAuthorization header is not sanitized in an error object in auth0EPSS 1.5%CVE-2021-32702HIGHReflected XSS from the callback handler's error query parameterEPSS 1.4%CVE-2020-15084HIGHAuthorization bypass in express-jwtEPSS 1.1%CVE-2020-15259HIGHCSRF in Auth0 ad-ldap-connectorEPSS 1.0%CVE-2021-41246MEDIUMSession fixation in express-openid-connectEPSS 0.9%CVE-2020-5263MEDIUMInformation disclosure through error objectEPSS 0.9%CVE-2020-15240HIGHRegression in JWT Signature ValidationEPSS 0.8%CVE-2022-23541MEDIUMjsonwebtoken's insecure implementation of key retrieval function could lead to Forgeable Public/Private Tokens from RSA to HMACEPSS 0.8%CVE-2022-23505MEDIUMPassport-wsfed-saml2 vulnerable to Authentication Bypass for WSFed authenticationEPSS 0.8%CVE-2022-24794HIGHOpen Redirect in express-openid-connectEPSS 0.7%CVE-2025-48951CRITICALAuth0-PHP SDK Deserialization of Untrusted Data vulnerabilityEPSS 0.7%CVE-2021-43812MEDIUMOpen redirect in nextjs-auth0EPSS 0.7%CVE-2022-29172MEDIUMHTML injection with additional signup fieldsEPSS 0.6%CVE-2020-15119MEDIUMDOM-based XSS in auth0-lockEPSS 0.5%CVE-2022-23540MEDIUMjsonwebtoken vulnerable to signature validation bypass due to insecure default algorithm in jwt.verify()EPSS 0.5%CVE-2025-47275CRITICALBrute Force Authentication Tags of CookieStore Sessions in Auth0-PHP SDKEPSS 0.5%CVE-2022-23539MEDIUMjsonwebtoken unrestricted key type could lead to legacy keys usageEPSS 0.5%CVE-2025-46344MEDIUMAuth0 NextJS SDK v4 Missing Session InvalidationEPSS 0.4%CVE-2025-46572CRITICALpassport-wsfed-saml2 Has SAML Authentication Bypass via Signature WrappingEPSS 0.4%