CVE-2026-67329 in better-auth
요약
\~에 의해 VulDB • 2026. 08. 01.
@better-auth/stripe 버전 1.4.11 이상 및 (버전 >= 1.7.0-beta.0이고 < 1.7.0-beta.10인 경우)에는 조직 구독 작업에서 권한 우회(authorization bypass) 취약점이 존재합니다. 미들웨어는 요청 쿼리 문자열에서 가져온 조직 ID를 authorizeReference 콜백과 대조하여 검증하지만, 핸들러는 요청 본문에서만 조직 ID를 읽으며 세션의 호출자 활성 조직으로 폴백됩니다. 이 두 값이 다를 경우, 여러 조직에 속한 인증된 사용자는 자신이 소속되었지만 관리해서는 안 되는 조직에 대해 구독 작업(취소, 플랜 변경, 복원, 청구 포털 접근)을 수행할 수 있으며, 결제 수단, 인보이스 및 구독 상태를 포함한 다른 조직의 청구 세부 정보에도 접근할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.