p PatchFirst

CVE-2025-71400

CVE-2025-71400 · better-auth passkey before 1.4.0 IDOR via delete-passkey

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

better-auth passkey versions before 1.4.0 contain an insecure direct object reference vulnerability in the passkey deletion endpoint that allows authenticated users to delete arbitrary passkeys by ID. Attackers with valid sessions can submit crafted requests to the delete-passkey endpoint with enumerated passkey IDs to remove other users' passkeys.

CVSS 7.1 · Высокий · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • passkey

    Версии
    • ≥ 0, < 1.4.0: Затронуто (semver)
    • 1.4.0: Не затронуто (semver)

    Обновитесь до 1.4.0

  • @better-auth/passkey npm

    Затронутые диапазоны версий
    • SEMVER: < 1.4.0

    Обновитесь до 1.4.0

Первоисточники

Проверьте свой сервер →