CVE-2026-67334 in better-auth
Résumé
par VulDB • 01/08/2026
Les versions de better-auth antérieures à la 1.6.11 ne suppriment pas les sessions mises en cache lors de la suppression d'utilisateurs via les points de terminaison admin, anonyme ou SCIM lorsque secondaryStorage est configuré et que storeSessionInDatabase a la valeur false. Les attaquants peuvent réutiliser les jetons de session des utilisateurs supprimés pour maintenir l'authentification jusqu'à sept jours après la suppression du compte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.