CVE-2026-67329 in better-auth
الملخص
بحسب VulDB • 02/08/2026
تحتوي الإصدارات @better-auth/stripe >= 1.4.11 و< 1.6.21، بالإضافة إلى الإصدارات >= 1.7.0-beta.0 و< 1.7.0-beta.10 على ثغرة لتجاوز التفويض في إجراءات اشتراك المؤسسة. تقوم الوسيطة (middleware) بالتحقق من معرف المؤسسة المستمد من سلسلة استعلام الطلب مقابل دالة استدعاء authorizeReference، لكن المعالج يقرأ معرف المؤسسة فقط من جسم الطلب ويعود إلى استخدام نشط للمؤسسة الخاصة بالمُستخدم من جلسته عند التعذر. عندما يختلف هذان المعرفان، يمكن لأحد الأعضاء المصادق عليه والمشارك في عدة مؤسسات تنفيذ إجراءات اشتراك (إلغاء، تغيير الخطة، استعادة الوصول، الدخول إلى بوابة الفواتير) لصالح مؤسسة ينتمي إليها لكنه لا ينبغي أن يديرها، كما يمكنه الاطلاع على تفاصيل الفوترة الخاصة بمؤسسة أخرى بما في ذلك طرق الدفع والفواتير وحالة الاشتراك.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.