Перейти к содержимому
Noroxi
CVE-2026-42349· NVD / CVE Program· CNA GitHub_M

Clerk: Authorization bypass when combining organization, billing, or reverification checks

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 30/100)

  • В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
  • Вероятность эксплуатации в ближайшие 30 дней: 0,43% (FIRST EPSS).
  • Может быть вызвана любым, у кого есть доступ через интернет. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
  • Исправленная версия: @clerk/astro (npm) 2.17.11, 3.0.18; @clerk/backend (npm) 2.33.3, 3.2.14; @clerk/chrome-extension (npm) 2.9.15, 3.1.15.

Пока низкий приоритет. Обновитесь до @clerk/astro (npm) 2.17.11, 3.0.18; @clerk/backend (npm) 2.33.3, 3.2.14; @clerk/chrome-extension (npm) 2.9.15, 3.1.15 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Clerk JavaScript is the official JavaScript repository for Clerk authentication. has(), auth.protect(), and related authorization predicates in @clerk/shared, @clerk/nextjs, @clerk/backend, and other framework SDKs can return true for certain combined authorization checks when the result should be false, allowing a gated action to proceed for a user who does not satisfy the full set of requested conditions. This call shape can be bypassed if certain conditions are met: a has() or auth.protect() call that combines a reverification check with any of role, permission, feature, or plan, or that combines a billing check (feature or plan) with a role or permission check. This vulnerability is fixed in @clerk/clerk-js 5.125.10 and 6.7.5.

ВысокаяCVSS 7.6 · v4.0—Эксплойта нет Есть исправление
Опубликовано
11 мая 2026 г.
Обновлено
17 июн. 2026 г.
EPSS
0,4 % · 36-й процентиль

Инструменты для отчёта

JSON

Оценка срочности

30

Наблюдать

Пока низкий приоритет.

CVSS
30 / 40 · 7.6 / 10
CISA KEV
0 / 30 · Нет в списке
EPSS
0 / 30 · 0,4 %

Решение CISA SSVC

Эксплуатация
proof of concept
Автоматизируемо
нет
Техническое влияние
частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD
—
CNA · GitHub_M
7,6
NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

  • Нет в KEV: эксплуатация в реальных атаках не зафиксирована
  • Публичного эксплойта нет
  • Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Следить за CVE-2026-42349

Когда мы напишем

  • когда запись попадёт в CISA KEV
  • когда появится или станет боевым эксплойт
  • когда запись обновится (в том числе исправленная версия)
  • когда EPSS вырастет на 20 пунктов за неделю

Одна сводка в день по почте (06:00 UTC); с вебхуком попадание в KEV и боевые эксплойты — сразу.

С бесплатным аккаунтом также

У вас WordPress? Проверьте сайт бесплатно в WP Lens

  • Оповещения по стеку: добавьте свои продукты и версии — новые CVE для них придут вам
  • Мониторинг сайта: 1 сайт, письмо сразу при недоступности
  • Добавьте домен: поддомены и риск захвата проверяются каждую неделю (1 домен)
  • 10 проверок в час в инструментах безопасности (без аккаунта — 3 в день), API-ключ и MCP
  • Все сканирования в одной панели: находки, изменения с прошлого сканирования, отчёт по домену или клиенту (PDF, ссылка для просмотра)
Все бесплатные инструменты

Регистрация по почте · Уже есть аккаунт? Войти

Бесплатный аккаунт, без карты. Отписаться можно в любой момент.

Не хотите аккаунт? Сводка «Эксплуатируется на этой неделе» по понедельникамНе хотите аккаунт? RSS-лента записей clerk

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

ВендорПродукт
clerkclerk\/astro
clerkclerk\/backend
clerkclerk\/chrome-extension
clerkclerk\/clerk-expo
clerkclerk\/clerk-js
clerkclerk\/clerk-react
clerkclerk\/expo
clerkclerk\/express
clerkclerk\/fastify
clerkclerk\/hono
clerkclerk\/nextjs
clerkclerk\/nuxt

и ещё 5

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

  • clerk clerk/astro2.0.0 и новее · до 2.17.11
  • clerk clerk/astro3.0.0 и новее · до 3.0.18
  • clerk clerk/backend2.0.0 и новее · до 2.33.3
  • clerk clerk/backend3.0.0 и новее · до 3.2.14
  • clerk clerk/chrome-extension1.3.5 и новее · до 2.9.15
  • clerk clerk/chrome-extension3.0.0 и новее · до 3.1.15
  • clerk clerk/clerk-expo2.2.11 и новее · до 2.19.36
  • clerk clerk/clerk-js5.22.0 и новее · до 5.125.10
  • clerk clerk/clerk-js6.0.0 и новее · до 6.7.5
  • clerk clerk/clerk-react5.9.0 и новее · до 5.61.6
  • clerk clerk/expo3.0.0 и новее · до 3.2.2
  • clerk clerk/express0.1.0 и новее · до 1.7.79
  • clerk clerk/express2.0.0 и новее · до 2.1.6
  • clerk clerk/fastify1.0.42 и новее · до 2.6.31
  • clerk clerk/fastify3.0.0 и новее · до 3.1.16
  • clerk clerk/hono0.0.2 и новее · до 0.1.16
  • clerk clerk/nextjs6.0.0 и новее · до 6.39.3 включительно
  • clerk clerk/nextjs7.0.0 и новее · до 7.2.4
  • clerk clerk/nuxt1.0.0 и новее · до 1.13.29
  • clerk clerk/nuxt2.0.0 и новее · до 2.2.5

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

  • @clerk astro

    • >= 2.0.0, <= 2.17.10, >= 3.0.0, <= 3.0.17затронута

  • @clerk backend

    • >= 2.0.0, <= 2.33.2, >= 3.0.0, <= 3.2.13затронута

  • @clerk chrome-extension

    • >= 1.3.5, <= 2.9.14, >= 3.0.0, <= 3.1.14затронута

  • @clerk clerk-expo

    • >= 2.2.11, <= 2.19.35затронута

  • @clerk clerk-react

    • >= 5.9.0, <= 5.61.5затронута

  • @clerk expo

    • >= 3.0.0, <= 3.2.1затронута

  • @clerk express

    • >= 0.1.0, <= 1.7.78, >= 2.0.0, <= 2.1.5затронута

  • @clerk fastify

    • >= 1.0.42, <= 2.6.30, >= 3.0.0, <= 3.1.15затронута

  • @clerk hono

    • >= 0.0.2, <= 0.1.15затронута

  • @clerk nextjs

    • >= 6.0.0, <= 6.39.2, >= 7.0.0, <= 7.2.3затронута

  • @clerk nuxt

    • >= 1.0.0, <= 1.13.28, >= 2.0.0, <= 2.2.4затронута

  • @clerk react

    • >= 6.0.0, <= 6.4.2затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

ЭкосистемаПакетЗатронутый диапазонИсправление
npm@clerk/astroс 2.0.0 · до 2.17.112.17.11
npm@clerk/astroс 3.0.0 · до 3.0.183.0.18
npm@clerk/backendс 2.0.0 · до 2.33.32.33.3
npm@clerk/backendс 3.0.0 · до 3.2.143.2.14
npm@clerk/chrome-extensionс 1.3.5 · до 2.9.152.9.15
npm@clerk/chrome-extensionс 3.0.0 · до 3.1.153.1.15
npm@clerk/clerk-expoс 2.2.11 · до 2.19.362.19.36
npm@clerk/clerk-jsс 5.22.0 · до 5.125.105.125.10
npm@clerk/clerk-jsс 6.0.0 · до 6.7.56.7.5
npm@clerk/clerk-reactс 5.9.0 · до 5.61.65.61.6
npm@clerk/expoс 3.0.0 · до 3.2.23.2.2
npm@clerk/expressс 0.1.0 · до 1.7.791.7.79
npm@clerk/expressс 2.0.0 · до 2.1.62.1.6
npm@clerk/fastifyс 1.0.42 · до 2.6.312.6.31
npm@clerk/fastifyс 3.0.0 · до 3.1.163.1.16
npm@clerk/honoс 0.0.2 · до 0.1.160.1.16
npm@clerk/nextjsс 6.0.0 · до 6.39.36.39.3
npm@clerk/nextjsс 7.0.0 · до 7.2.47.2.4
npm@clerk/nuxtс 1.0.0 · до 1.13.291.13.29
npm@clerk/nuxtс 2.0.0 · до 2.2.52.2.5
npm@clerk/reactс 6.0.0 · до 6.4.36.4.3
npm@clerk/react-routerс 0.0.1 · до 2.4.132.4.13
npm@clerk/react-routerс 3.0.0 · до 3.1.43.1.4
npm@clerk/sharedс 3.0.0 · до 3.47.53.47.5

+5

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакетИсправленная версияИсточник
npm:@clerk/astro2.17.11Реестр пакетов (OSV)
npm:@clerk/astro3.0.18Реестр пакетов (OSV)
npm:@clerk/backend2.33.3Реестр пакетов (OSV)
npm:@clerk/backend3.2.14Реестр пакетов (OSV)
npm:@clerk/chrome-extension2.9.15Реестр пакетов (OSV)
npm:@clerk/chrome-extension3.1.15Реестр пакетов (OSV)
npm:@clerk/clerk-expo2.19.36Реестр пакетов (OSV)
npm:@clerk/clerk-js5.125.10Реестр пакетов (OSV)
npm:@clerk/clerk-js6.7.5Реестр пакетов (OSV)
npm:@clerk/clerk-react5.61.6Реестр пакетов (OSV)
npm:@clerk/expo3.2.2Реестр пакетов (OSV)
npm:@clerk/express1.7.79Реестр пакетов (OSV)
npm:@clerk/express2.1.6Реестр пакетов (OSV)
npm:@clerk/fastify2.6.31Реестр пакетов (OSV)
npm:@clerk/fastify3.1.16Реестр пакетов (OSV)
npm:@clerk/hono0.1.16Реестр пакетов (OSV)
npm:@clerk/nextjs6.39.3Реестр пакетов (OSV)
npm:@clerk/nextjs7.2.4Реестр пакетов (OSV)
npm:@clerk/nuxt1.13.29Реестр пакетов (OSV)
npm:@clerk/nuxt2.2.5Реестр пакетов (OSV)
npm:@clerk/react6.4.3Реестр пакетов (OSV)
npm:@clerk/react-router2.4.13Реестр пакетов (OSV)
npm:@clerk/react-router3.1.4Реестр пакетов (OSV)
npm:@clerk/shared3.47.5Реестр пакетов (OSV)
npm:@clerk/shared4.8.3Реестр пакетов (OSV)
npm:@clerk/tanstack-react-start0.29.11Реестр пакетов (OSV)
npm:@clerk/tanstack-react-start1.1.4Реестр пакетов (OSV)
npm:@clerk/vue1.17.21Реестр пакетов (OSV)
npm:@clerk/vue2.0.16Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

  • Может быть вызвана любым, у кого есть доступ через интернет.
  • Достаточно учётной записи с низкими привилегиями.
  • Действия пользователя не требуются.
  • Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность
Целостность
Доступность
Вектор атаки
Сеть
Сложность атаки
Низкая
Требуемые привилегии
Низкие
Взаимодействие с пользователем
Не требуется
Область действия
X

Класс уязвимости (CWE)

CWE-754 · Improper Check for Unusual or Exceptional Conditions

Вектор CVSS

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.

Журнал изменений

  1. Исправление✗ → ✓

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи