MEDIUM🇬🇧 English

CVE-2025-68129

CVSS 6.8v3.1pub. 2025-12-17upd. 2026-03-05

Auth0-PHP to SDK PHP do autentykacji Auth0 i API Management. W aplikacjach zbudowanych z SDK Auth0-PHP, walidacja audience w access tokenach jest wykonywana nieprawidłowo. Bez właściwej walidacji, aplikacje mogą akceptować ID tokeny jako Access tokeny. Dotyczy to projektów korzystających z Auth0-PHP SDK w wersjach od v8.0.0 do v8.17.0, a także aplikacji używających Auth0/symfony (v5.0.0–v5.5.0), Auth0/laravel-auth0 (v7.0.0–v7.19.0) i/lub Auth0/wordpress plugin (v5.0.0-BETA0–v5.4.0), które opierają się na podatnych wersjach Auth0-PHP. Problem rozwiązano w Auth0/Auth0-PHP v8.18.0.

▸ Pokaż oryginał (EN)

Auth0-PHP is a PHP SDK for Auth0 Authentication and Management APIs. In applications built with the Auth0-PHP SDK, the audience validation in access tokens is performed improperly. Without proper validation, affected applications may accept ID tokens as Access tokens. Projects are affected if they use Auth0-PHP SDK versions between v8.0.0 and v8.17.0, or applications using the following SDKs that rely on the Auth0-PHP SDK versions between v8.0.0 and v8.17.0: Auth0/symfony versions between 5.0.0 and 5.5.0, Auth0/laravel-auth0 versions between 7.0.0 and 7.19.0, and/or Auth0/wordpress plugin versions between 5.0.0-BETA0 and 5.4.0. Auth0/Auth0-PHP version 8.18.0 contains a patch for the issue.