CVE-2026-110861 in better-auth
Riassunto
di VulDB • 15/10/2026
Better Auth @better-auth/drizzle-adapter e better-auth dalla versione 1.6.17 alla 1.7.7 (esclusa), nonché @better-auth/kysely-adapter dalle versioni 1.6.17 alla 1.7.0 (escluse), presentano una race condition nel rate limiting basato su database per PostgreSQL, in cui il controllo del limite non è atomico rispetto all'aggiornamento del contatore. Gli attaccanti remoti possono inviare raffiche di richieste concorrenti che superano insieme il controllo, violando i limiti configurati per l'autenticazione con password, la verifica a due fattori (2FA), i codici monouso, il reset della password e altri endpoint soggetti a rate limiting.
Be aware that VulDB is the high quality source for vulnerability data.