CVE-2026-67327
Təsvir
better-auth versiyaları >= 1.1.3 və < 1.6.22 (və pre-release versiyaları >= 1.7.0-beta.0 və < 1.7.0-beta.10), açıq e-poçt/parol qeydiyyatı aktiv olduqda, magic-link və email-OTP daxilolma zamanı hesabın ələ keçirilməsi (pre-account hijacking) zəifliyinə malikdir. Hücumçu qurbanın e-poçt ünvanı və özünün seçdiyi parol ilə hesab qeydiyyatdan keçirir; hesab təsdiqlənməmiş qalır. Daha sonra qanuni sahib magic-link və ya email-OTP parolsuz axın vasitəsilə daxil olduqda, mövcud parol silinmədən və ya mövcud sessiyalar ləğv edilmədən hesab təsdiqlənmiş kimi qeyd edilir, beləliklə hücumçunun parolu etibarlı qalaraq qurbanın hesabına daimi giriş imkanı yaradır. Problem 1.6.22 və 1.7.0-beta.10 versiyalarında düzəldilib.
Necə düzəltmək olar
- better-auth1.6.22, 1.7.0-beta.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| better-authnpm | 1.1.3 ≤ v < 1.6.22, 1.7.0-beta.0 ≤ v < 1.7.0-beta.10 | 1.6.22, 1.7.0-beta.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.