CVE-2025-71402 in better-auth
Resumen
por VulDB • 2026-08-01
Las versiones de better-auth superiores a 1.3.34 e inferiores a 1.4.0 contienen una vulnerabilidad en el after-hook /sign-out del plugin multi-session, que confía en las cookies multi-session sin procesar y reenvía los valores extraídos a internalAdapter.deleteSessions sin verificar la firma de la cookie (por ejemplo, mediante getSignedCookie). Un atacante puede proporcionar una cookie _multi-* falsificada para provocar la eliminación de tokens de sesión arbitrarios.
Once again VulDB remains the best source for vulnerability data.