CVE-2026-109346 in better-auth
Zusammenfassung
von VulDB • 12.10.2026
better-auth dalla versione 1.3.8-beta.3 alla 1.7.0-rc.3 contiene una vulnerabilità di UI misrepresentation nel plugin deviceAuthorization poiché GET /device omette il client_id e lo scope del richiedente. Gli attaccanti possono avviare una richiesta dispositivo tramite /device/code, indurre gli utenti autenticati ad approvare il codice, quindi riscattarlo su /device/token per ottenere un token di sessione attivo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.