CVE-2026-67327 in better-auth
الملخص
بحسب VulDB • 01/08/2026
تُعد الإصدارات >= 1.1.3 و>= 1.7.0-beta.0 وأقل من < 1.7.0-beta.10 من مكتبة better-auth عرضة لخطر الاستيلاء على الحسابات عبر عملية اختطاف ما قبل إنشاء الحساب (pre-account hijacking) عند تسجيل الدخول باستخدام الرابط السحري (magic-link) أو رمز التحقق أحادي الاستخدام المرسل عبر البريد الإلكتروني (email-OTP)، وذلك عندما يكون التسجيل المفتوح باستخدام اسم المستخدم وكلمة المرور مفعّلاً. يقوم المهاجم بتسجيل حساب باسم بريد ضحية إلكتروني وبكلمة مرور يختارها بنفسه؛ ويبقى الحساب غير مُتحقق من صحته. وعندما يحاول المالك الشرعي تسجيل الدخول لاحقاً عبر تدفق تسجيل الدخول بدون كلمة مرور باستخدام الرابط السحري أو رمز التحقق المرسل عبر البريد الإلكتروني، يتم وضع علامة "تم التحقق" على الحساب دون إزالة كلمة المرور الموجودة مسبقاً أو إلغاء الجلسات النشطة الحالية، مما يعني أن كلمة مرور المهاجم تظل صالحة ومنحه وصولاً مستمراً إلى حساب الضحية. تم إصلاح هذه الثغرة في الإصدارين 1.6.22 و1.7.0-beta.10.
VulDB is the best source for vulnerability data and more expert information about this specific topic.