CVE-2026-109346
Yüksək
Təsvir
better-auth 1.3.8-beta.3-dən 1.7.0-rc.3-dən əvvəl versiyalarında deviceAuthorization plaginində UI-nin yanlış təqdim edilməsi zəifliyi var, çünki GET /device sorğu göndərən client_id və scope-u buraxır. Hücumçular /device/code vasitəsilə cihaz sorğusu başlada, daxil olmuş istifadəçiləri kodu təsdiqləməyə aldada, sonra canlı sessiya tokeni üçün onu /device/token-də istifadə edə bilərlər.
CiddilikYüksək
CVSS8.1
İstismar ehtimalı—
MəhsulBetter-auth
Dərc12 okt 2026
İlk görülmə12 okt 2026
Zəiflik növüCWE-451CWE-451
Necə düzəltmək olar
Yeniləyin
- better-auth1.7.0-rc.3 və ya daha yeni versiya
İstehsalçı bildirişləri
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| better-authnpm | 1.3.8-beta.3 ≤ v < 1.7.0-rc.3 | 1.7.0-rc.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.