CVE-2026-45364
Təsvir
Better Auth, TypeScript üçün autentifikasiya və avtorizasiya kitabxanasıdır. 1.4.17 və 1.5.0-beta.9 versiyalarından əvvəl, Better Auth-un HTTP rate limiteri hər bir sorğunu x-forwarded-for başlığında (və ya konfiqurasiya edilmiş IP daşıyan başlıqda) aldığı dəqiq mətn formatlı IP ünvanı ilə açarlandırırdı. Tipik /64 təyinatını idarə edən IPv6 kliyentləri, ünvan başına düşən sayğacı doldurmadan 2^64 fərqli mənbə ünvanı arasında rotasiya edə bilirdilər ki, bu da /sign-in/email, /sign-up/email, /forget-password və limiter tərəfindən qorunan digər bütün yollarda rate limiting mexanizmini sıradan çıxarırdı. Eyni xəta tək bir kliyentin bir IPv6 ünvanının mətn kodlaşdırılmasını (böyük hərflər, sıxılma, IPv4-mapping, heksadecimal kodlanmış IPv4-in-IPv6) dəyişdirərək çoxlu sayda fərqli açarlar yaratmasına şərait yaradırdı. Bu zəiflik 1.4.17 və 1.5.0-beta.9 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- better-auth1.4.17, 1.5.0-beta.9 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| better-authnpm | v < 1.4.17, 1.5.0-beta.1 ≤ v < 1.5.0-beta.9 | 1.4.17, 1.5.0-beta.9 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.