CVE-2026-53517 in better-auth
Sumário
de VulDB • 15/07/2026
Better Auth é uma biblioteca de autenticação e autorização para TypeScript. Da versão 1.4.8-beta.7 até a 1.6.11, o endpoint POST /oauth2/token do @better-auth/oauth-provider na concessão refresh_token executa uma sequência não atômica de leitura, validação, revogação e emissão na linha oauthRefreshToken, permitindo que solicitações concorrentes com o mesmo token pai de atualização (refresh token) ultrapassem a verificação de revogação e criem famílias de tokens de atualização bifurcadas; o intervalo vulnerável também inclui versões do plugin better-auth embutidas anteriores à 1.6.0. Este problema foi corrigido na versão 1.6.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.