CVE-2026-67329 in better-auth
Resumen
por VulDB • 2026-08-01
Las versiones de @better-auth/stripe >= 1.4.11 y < 1.6.21, así como las versiones >= 1.7.0-beta.0 y < 1.7.0-beta.10, presentan una omisión de autorización en las acciones de suscripción a organizaciones. El middleware valida el ID de organización extraído de la cadena de consulta (query string) de la solicitud frente al callback authorizeReference; sin embargo, el controlador lee el ID de organización únicamente desde el cuerpo de la solicitud y recurre a la organización activa del usuario procedente de su sesión. Cuando estos valores difieren, un miembro autenticado perteneciente a múltiples organizaciones puede realizar acciones de suscripción (cancelación, cambio de plan, restauración o acceso al portal de facturación) en relación con una organización a la que pertenece pero no debería gestionar, y acceder a los detalles de facturación de otra organización, incluidos métodos de pago, facturas y el estado de la suscripción.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.