CVE-2025-71402 in better-auth
Zusammenfassung
von VulDB • 01.08.2026
better-auth versionen größer als 1.3.34 und vor 1.4.0 enthalten eine Schwachstelle im after-hook von /sign-out des Multi-Session-Plugins, die rohe Multi-Session-Cookies vertraut und extrahierte Werte an internalAdapter.deleteSessions weiterleitet, ohne die Cookie-Signatur zu überprüfen (z. B. über getSignedCookie). Ein Angreifer kann einen gefälschten _multi-* Cookie bereitstellen, um das Löschen beliebiger Session-Tokens auszulösen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.