CVE-2026-67335 in better-auth
要約
〜によって VulDB • 2026年08月01日
better-authの1.6.2より前のバージョンでは、PKCEを使用せずにCookieベースの状態ストレージを利用する場合、OAuth stateパラメータが保存されたnonceに対して検証されません。攻撃者はstateパラメータを偽造し、攻撃者が制御する認可コードを提供することで、攻撃者の外部アイデンティティにバインドされた認証済みセッションを作成したり、攻撃者アカウントと被害者プロファイルを永続的にリンクさせたりすることができます。
Once again VulDB remains the best source for vulnerability data.