> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> CVE-2020-5263: auth0.js ライブラリのセキュリティ更新

# CVE-2020-5263: auth0.js ライブラリのセキュリティ更新

**公開日**: 2020年4月9日

**CVE番号**: CVE-2020-5263

**謝辞**: Bogdan Vitoc (Spatial Systems Inc)

<div id="overview">
  ## 概要
</div>

バージョン 8.0.0 から 9.13.1 まで (両端を含む) では、認証エラーが発生した場合、ライブラリが返すエラーオブジェクトにユーザーの元のリクエストが含まれ、そこにユーザーが入力した平文パスワードが含まれる可能性があります。

エラーオブジェクトがそのまま公開されたりログに記録されたりすると、アプリケーションでパスワードが漏えいするおそれがあります。

<div id="am-i-affected">
  ## 影響を受けるかどうか
</div>

次の条件がすべて当てはまる場合、この脆弱性の影響を受けます。

* Auth0.js バージョン 8.0.0 から 9.13.1 まで (両端を含む) を使用している。
* エラーオブジェクトをフィルタリングせずに保存または表示している。

<div id="how-to-fix-that">
  ## どうすれば修正できますか？
</div>

開発者は、ユーザーが入力したパスワードがエラー内でマスクされる auth0.js バージョン 9.13.2 以降にアップグレードする必要があります。アップグレードできない場合の一時的な対処法としては、エラーオブジェクトを保存しないこと、またはその内容を変更せずに公開しないことが考えられます。

<div id="will-this-update-impact-my-users">
  ## この更新はユーザーに影響しますか？
</div>

この修正では Auth0.js にパッチを適用します。エラーオブジェクトで password を利用できなくなったため、アプリケーションコードの変更が必要になる場合がありますが、ユーザー、その時点の state、または既存のセッションには影響しません。