p PatchFirst

CVE-2026-67335

CVE-2026-67335 · better-auth before 1.6.2 OAuth State Validation Bypass

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

better-auth versions before 1.6.2 fail to validate the OAuth state parameter against the stored nonce when using cookie-backed state storage without PKCE. Attackers can forge the state parameter and supply an attacker-controlled authorization code to create authenticated sessions bound to the attacker's external identity or persistently link attacker accounts to victim profiles.

CVSS 6.0 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • better-auth

    Версии
    • ≥ 0, < 1.6.2: Затронуто (semver)
    • 1.6.2: Не затронуто (semver)

    Обновитесь до 1.6.2

  • better-auth npm

    Затронутые диапазоны версий
    • SEMVER: < 1.6.2

    Обновитесь до 1.6.2

Первоисточники

Проверьте свой сервер →