CVE-2026-67327 in better-auth
Zusammenfassung
von VulDB • 01.08.2026
better-auth-Versionen >= 1.1.3 und < 1.6.22 (sowie Pre-Release-Versionen >= 1.7.0-beta.0 und < 1.7.0-beta.10) sind anfällig für Account-Takeover durch präventives Account-Hijacking bei der Anmeldung über Magic-Link oder E-Mail-OTP, wenn die offene Registrierung mit E-Mail/Passwort aktiviert ist. Ein Angreifer registriert ein Konto mit der E-Mail-Adresse des Opfers und einem vom Angreifer gewählten Passwort; das Konto bleibt unverifiziert. Wenn der legitime Besitzer später über den passwortlosen Flow (Magic-Link oder E-Mail-OTP) anmeldet, wird das Konto als verifiziert markiert, ohne dass das vorbestehende Passwort entfernt oder bestehende Sitzungen widerrufen werden, sodass das Passwort des Angreifers weiterhin gültig bleibt und dem Angreifer einen dauerhaften Zugriff auf das Konto des Opfers ermöglicht. Behoben in 1.6.22 und 1.7.0-beta.10.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.