JVNDB-2026-017946

clerkのClerk/astro等の複数製品における複数の脆弱性

Clerk JavaScriptはClerk認証の公式JavaScriptリポジトリです。@clerk/shared、@clerk/nextjs、@clerk/backend、およびその他のフレームワークSDKにおけるhas()、auth.protect()、および関連する認可述語は、特定の組み合わせた認可チェックで本来はfalseとなるべき場合にtrueを返すことがあり、要求された条件のすべてを満たさないユーザーに対して制限付きアクションを実行可能にしてしまいます。この呼び出し形式は特定の条件が満たされた場合にバイパス可能です。具体的には、reverification（再検証）チェックとrole（役割）、permission（許可）、feature（機能）、またはplan（プラン）のいずれかを組み合わせたhas()またはauth.protect()の呼び出し、もしくはbilling（課金）チェック（featureまたはplan）とroleまたはpermissionチェックを組み合わせた場合にバイパスが可能となります。この脆弱性は@clerk/clerk-jsのバージョン5.125.10および6.7.5で修正されています。

clerk

• Clerk/astro 2.0.0 以上 2.17.11 未満
• Clerk/astro 3.0.0 以上 3.0.18 未満
• clerk/backend 2.0.0 以上 2.33.3 未満
• clerk/backend 3.0.0 以上 3.2.14 未満
• Clerk/chrome-extension 1.3.5 以上 2.9.15 未満
• Clerk/chrome-extension 3.0.0 以上 3.1.15 未満
• Clerk/clerk-expo 2.2.11 以上 2.19.36 未満
• Clerk/clerk-js 5.22.0 以上 5.125.10 未満
• Clerk/clerk-js 6.0.0 以上 6.7.5 未満
• Clerk/clerk-react 5.9.0 以上 5.61.6 未満
• Clerk/expo 3.0.0 以上 3.2.2 未満
• Clerk/express 0.1.0 以上 1.7.79 未満
• Clerk/express 2.0.0 以上 2.1.6 未満
• Clerk/fastify 1.0.42 以上 2.6.31 未満
• Clerk/fastify 3.0.0 以上 3.1.16 未満
• Clerk/hono 0.0.2 以上 0.1.16 未満
• Clerk/nextjs 6.0.0 から 6.39.3
• Clerk/nextjs 7.0.0 以上 7.2.4 未満
• Clerk/nuxt 1.0.0 以上 1.13.29 未満
• Clerk/nuxt 2.0.0 以上 2.2.5 未満
• Clerk/react 6.0.0 以上 6.4.3 未満
• Clerk/react-router 0.0.1 以上 2.4.13 未満
• Clerk/react-router 3.0.0 以上 3.1.4 未満
• Clerk/shared 3.0.0 以上 3.47.5 未満
• Clerk/shared 4.0.0 以上 4.8.3 未満
• Clerk/tanstack-react-start 0.0.1 以上 0.29.11 未満
• Clerk/tanstack-react-start 1.0.0 以上 1.1.4 未満
• Clerk/vue 1.0.0 以上 1.17.21 未満
• Clerk/vue 2.0.0 以上 2.0.16 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authorization bypass when combining organization, billing, or reverification checks  Advisory  clerk/javascript  GitHub

1. 例外的な状態における不適切なチェック(CWE-754) [その他]
2. 不正な認証(CWE-863) [その他]

1. CVE-2026-42349

1. National Vulnerability Database (NVD) : CVE-2026-42349

• [2026年06月04日]
    掲載