Auth.js の認証バイパス脆弱性、Unicode 正規化前の検証が原因

要約

Auth.js のメール/マジックリンク認証において、Unicode 正規化前にメールアドレスを検証することで、非 ASCII の @記号（U+0040 に正規化される Unicode 文字）をバイパス可能な脆弱性が存在する。攻撃者は被害者のメールアドレスを知っていれば、正規化後に異なるメールアドレスに解釈されるマジックリンクをリクエストでき、アカウント乗っ取りが可能になる。影響を受けるのは next-auth 4.0.0 以上 4.24.14 未満、または @auth/core 0.1.0 以上 0.41.3 未満で、デフォルトの normalizeIdentifier を使用しており、メール送信時に Unicode 正規化を行うライブラリを使用している場合。