Supertokens

Vulnerabilities related to Supertokens 9

• Medium 6.8 SuperTokens Core: A session created concurrently with account unlink survives the unlink CVE-2026-123804 Nov 10, 03:53
• High 8.1 SuperTokens Coreに認証を回避される脆弱性、別テナントでパスキーが通る SuperTokens Coreには、WebAuthnのサインインで別のテナントのパスキーが受け付けられる脆弱性が見つかりました。複数テナントで共有ユーザープールを使う環境では、所属していないテナントに自分のパスキーで認証されるおそれがあります。11.0.9、11.1.4、11.2.4、11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1で修正されているため、該当するバージョンの利用中であれば修正版への更新を急ぎましょう。 CVE-2026-123803 Nov 10, 03:48
• High 8.1 SuperTokens Coreに認証を回避され別のIdPユーザーとしてログインされる脆弱性 SuperTokens CoreのSAML認証に脆弱性があり、攻撃者が検証されていないアサーションを使って、IdPの別のユーザーとしてサインインできるおそれがあります。影響を受けるのは11.3.0から11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1未満のバージョンで、11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1の各版で修正されています。SAML認証を使っている場合は、修正版への更新を急いでください。 CVE-2026-123802 Nov 10, 03:23
• High 7.4 SuperTokens Coreに認証を再利用される脆弱性 SAML応答の再送で認可コードが発行される SuperTokens CoreのSAML callback処理に脆弱性が見つかり、正規に発行されたSAML応答とRelayStateを再送されると、攻撃者が利用者の認可コードを何度も取得できるおそれがあります。影響を受けるのは11.3.0から11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1のうち修正前の版で、11.3.8、11.4.8、12.0.11、12.1.2、12.2.1、12.3.1以降で修正されています。SAML認証を使っている場合は、早めに修正版へ更新してください。 CVE-2026-123801 Nov 10, 03:18
• Critical 9.9 SuperTokens Coreに別アプリ乗っ取りの脆弱性、修正版あり 認証サーバーSuperTokens Coreで、1つのアプリのAPIキーから同じ接続URIドメイン配下の別アプリを乗っ取れる脆弱性が公表されました。該当構成なら系列ごとの修正版に更新し、APIキーの書き換えがないかも確認します。 CVE-2026-123800 Nov 10, 03:16
• High 7.4 SuperTokens Coreで期限切れのダッシュボード管理者セッションが有効なままになる脆弱性 SuperTokens Coreのダッシュボードで、有効期限を過ぎたセッションが引き続き認証を通る脆弱性です。影響を受けるのは11.0.0から11.0.9、11.1.0から11.1.4、11.2.0から11.2.4、11.3.0から11.3.8、11.4.0から11.4.8、12.0.0から12.0.11、12.1.0から12.1.2で、11.0.9、11.1.4、11.2.4、11.3.8、11.4.8、12.0.11、12.1.2に修正版が公開されています。すでにセッションを持つ管理者がいる環境では、修正版への更新を優先してください。 CVE-2026-123799 Nov 10, 03:07
• High 8.1 SuperTokens Coreに認証を回避される脆弱性、SAML応答の署名検証に不備 SuperTokens Coreでは、SAMLの署名検証に不備があり、IdP（ID基盤）の一般ユーザーが別のユーザーとして認証される可能性があります。影響を受けるのは11.3.0から11.3.6、11.4.0から11.4.6、12.0.0から12.0.9で、修正版は11.3.7、11.4.7、12.0.10です。修正版へ更新してください。 CVE-2026-123798 Nov 10, 03:04
• High 7.5 SuperTokens Coreに認証を回避される脆弱性、APIキーなしでロールを操作されるおそれ SuperTokens Coreには、未知のテナントパスを使うことでAPIキーとパブリックテナントの制限を回避され、アプリケーションのロールを作成・列挙されるおそれのある脆弱性があります。影響を受けるのは12.0.6から12.0.8未満、11.4.0から11.4.6未満、11.3.0から11.3.6未満、および11.3.0より前のバージョンです。11.3.6、11.4.6、12.0.8の修正版で対応できます。公表されたばかりのため、悪用の有無など最新の情報を確認してください。 CVE-2026-123797 Nov 10, 02:52
• Medium 5.9 A lack of tenant separation in SuperTokens Inc. SuperTokens Core v6.0.0 to v11.4.0 allows an... Vulnerability reported (CVE-2026-37171). Confidential information can be exposed externally. CVE-2026-37171 Aug 8, 00:33