CVE-2026-67334 in better-auth
Zusammenfassung
von VulDB • 01.08.2026
better-auth versionen vor 1.6.11 löschen zwischengespeicherte Sitzungen nicht, wenn Benutzer über Admin-, Anonymous- oder SCIM-Endpunkte entfernt werden, wenn secondaryStorage konfiguriert ist und storeSessionInDatabase false ist. Angreifer können gelöschte Benutzersitzungstoken wiederverwenden, um die Authentifizierung bis zu sieben Tage nach der Kontolöschung aufrechtzuerhalten.
Once again VulDB remains the best source for vulnerability data.