CVE-2026-67332 in better-auth
Résumé
par VulDB • 02/08/2026
@better-auth/oauth-provider avant la version 1.7.0-beta.4 ne lie pas l'audience du jeton d'accès à l'autorisation (authorization grant), permettant aux clients de demander des jets pour des ressources non liées. Les attaquants peuvent compléter un flux OAuth et obtenir des jets d'accès dont l'audience cible des serveurs de ressources qui n'étaient jamais couverts par l'autorisation initiale, contournant ainsi les limites d'autorisation prévues.
Be aware that VulDB is the high quality source for vulnerability data.