CVE-2026-41248: SDKs JavaScript da Clerk: bypass de proteção de rotas por middleware

Visão geral

A Clerk oferece autenticação para aplicações web, e seus SDKs JavaScript incluem um comparador de rotas, o createRouteMatcher, que o middleware usa para decidir quais páginas e endpoints exigem proteção. Segundo o registro, esse comparador em @clerk/nextjs, @clerk/nuxt e @clerk/astro pode ser contornado por determinadas requisições elaboradas, de modo que o bloqueio do middleware é ignorado e as requisições chegam a handlers posteriores. O registro classifica a fraqueza como CWE-436 (Interpretation Conflict).

Impacto

Requisições podem alcançar handlers que o middleware deveria proteger.
O registro classifica o problema como crítico, com pontuação base CVSS 3.1 de 9,1 e alto impacto em confidencialidade e integridade. O impacto em disponibilidade aparece como nulo.
A exposição real depende de como cada aplicação usa o comparador e do que fazem os handlers posteriores. O registro não fornece essa informação.

Produtos e versões afetados

O registro lista quatro grupos de produtos afetados: Clerk Astro, Clerk Nextjs, Clerk Nuxt e Clerk Shared. As versões corrigidas citadas no registro são:

@clerk/astro: 1.5.7, 2.17.10 e 3.0.15.
@clerk/nextjs: 5.7.6, 6.39.2 e 7.2.1.
@clerk/nuxt: 1.13.28 e 2.2.2.
@clerk/shared: 2.22.1, 3.47.4 e 4.8.1.

O registro também informa intervalos de versões afetadas para cada ramo, que terminam abaixo dessas versões corrigidas. Para os intervalos completos, consulte o aviso do GitHub. Segundo a lista de versões corrigidas do registro, pacotes dos grupos afetados que estejam nas versões corrigidas não são afetados por este problema.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada a relatar. Os campos SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS registrada é 0,00529. Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Identifique todos os projetos que usam @clerk/nextjs, @clerk/nuxt, @clerk/astro ou @clerk/shared, incluindo dependências transitivas.
Atualize cada pacote para a versão corrigida do seu ramo, conforme listado acima, e confirme a versão resolvida nos lockfiles e nos builds implantados.
Enquanto as atualizações não forem concluídas, não dependa apenas do casamento de rotas do middleware para proteger handlers sensíveis. Adicione verificações de autorização dentro dos handlers posteriores como defesa em profundidade.
Refaça os testes de proteção de rotas após a atualização, usando apenas planos de teste autorizados.

Orientações de detecção

Revise logs de aplicação e de acesso em busca de requisições que chegaram a handlers protegidos sem o fluxo de autenticação esperado, especialmente em rotas que o middleware deveria bloquear.
Faça um inventário das versões de dependências em todos os repositórios e pipelines de build e sinalize qualquer pacote Clerk abaixo da versão corrigida.
Monitore mudanças inesperadas em códigos de resposta ou em padrões de acesso a rotas sensíveis após a implantação.

Limitações das informações disponíveis

O registro não descreve a forma das requisições elaboradas e não traz detalhes técnicos além do resultado do contorno.
Nenhuma prova de conceito pública ou dado de exploração consta no registro, por isso a disponibilidade pública de exploits é desconhecida.
O status da fonte no registro é Deferred, e o seu significado para esta análise é desconhecido.
A data do EPSS no registro é 2026-10-13, o que exige cautela na interpretação da pontuação.
A lista de versões corrigidas de @clerk/shared no registro contém um erro de digitação, por isso as três versões são lidas como 2.22.1, 3.47.4 e 4.8.1.

Perguntas frequentes

O que a CVE-2026-41248 permite?

Segundo o registro, determinadas requisições elaboradas podem contornar o createRouteMatcher de @clerk/nextjs, @clerk/nuxt e @clerk/astro, ignorando o bloqueio do middleware e alcançando handlers posteriores.

Quais versões estão corrigidas?

O registro lista as versões corrigidas de cada ramo: @clerk/astro 1.5.7, 2.17.10 e 3.0.15; @clerk/nextjs 5.7.6, 6.39.2 e 7.2.1; @clerk/nuxt 1.13.28 e 2.2.2; e @clerk/shared 2.22.1, 3.47.4 e 4.8.1.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.