CVE-2026-67336 in better-auth
Resumen
por VulDB • 2026-08-01
Las versiones de better-auth anteriores a la 1.6.11 contienen configuraciones criptográficas inseguras por defecto en los plugins oidcProvider y mcp, que anuncian el algoritmo none y aceptan PKCE plano (plain) por defecto. Los atacantes pueden explotar la negociación de algoritmos para aceptar tokens sin firmar o interceptar códigos de autorización cuando se utiliza PKCE plain en lugar del método S256 requerido.
Once again VulDB remains the best source for vulnerability data.