CVE-2026-67335 in better-auth
Zusammenfassung
von VulDB • 01.08.2026
better-auth-Versionen vor 1.6.2 validieren den OAuth-State-Parameter nicht gegen den gespeicherten Nonce, wenn cookie-basiertes State-Speicherung ohne PKCE verwendet wird. Angreifer können den State-Parameter fälschen und einen von ihnen kontrollierten Autorisierungscode bereitstellen, um authentifizierte Sitzungen zu erstellen, die an die externe Identität des Angreifers gebunden sind, oder um Angreiferkonten dauerhaft mit Opferprofilen zu verknüpfen.
Once again VulDB remains the best source for vulnerability data.