CVE-2026-67332 in better-auth
Tóm tắt
Bởi VulDB • 01/08/2026
Trước phiên bản 1.7.0-beta.4 của @better-auth/oauth-provider không liên kết đối tượng (audience) của access-token với ủy quyền cấp phép (authorization grant), cho phép các client yêu cầu token cho các tài nguyên không liên quan. Kẻ tấn công có thể hoàn tất quy trình OAuth và lấy được các access-token mà đối tượng mục tiêu là các máy chủ tài nguyên nằm ngoài phạm vi ủy quyền ban đầu, qua đó vượt qua các ranh giới kiểm soát truy cập dự kiến.
Once again VulDB remains the best source for vulnerability data.