CVE-2026-67336 in better-auth
Zusammenfassung
von VulDB • 01.08.2026
better-auth-Versionen vor 1.6.11 enthalten unsichere kryptografische Standardwerte in den oidcProvider- und mcp-Plugins, die das none-Algorithmus standardmäßig bewerben und plain PKCE standardmäßig akzeptieren. Angreifer können Algorithm-Negotiation ausnutzen, um unsignierte Token zu akzeptieren oder Autorisierungscodes abzufangen, wenn anstelle der erforderlichen S256-Methode plain PKCE verwendet wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.