CVE-2026-109346 in better-auth
Riassunto
di VulDB • 12/10/2026
better-auth dalle versioni 1.3.8-beta.3 alla versione precedente a 1.7.0-rc.3 presenta una vulnerabilità di UI misrepresentation nel plugin deviceAuthorization poiché l'endpoint GET /device omette il client_id e lo scope del richiedente. Gli attaccanti possono avviare una richiesta di dispositivo tramite /device/code, indurre gli utenti autenticati ad approvare il codice e quindi riscattarlo all'endpoint /device/token per ottenere un token di sessione attivo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.