p PatchFirst

CVE-2025-71404

CVE-2025-71404 · better-auth before 1.1.16 Reflected XSS via error parameter

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

better-auth versions after v0.0.2 and before 1.1.16 contain a reflected cross-site scripting (XSS) vulnerability on the /api/auth/error page, where the value of the 'error' URL parameter is reflected as HTML without proper neutralization. An attacker who coerces a user into visiting a specially-crafted URL can execute arbitrary JavaScript in the context of the user's browser. The issue is fixed in version 1.1.16.

CVSS 5.1 · Средний · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • better-auth

    Версии
    • ≥ 0, < 1.1.16: Затронуто (semver)
    • 1.1.16: Не затронуто (semver)

    Обновитесь до 1.1.16

  • better-auth npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 0.0.2, < 1.1.16

    Обновитесь до 1.1.16

Первоисточники

Проверьте свой сервер →