CVE-2026-67330

@better-auth/scim (bir better-auth plagini) versiyaları >= 1.4.0-beta.27 ilə <= 1.6.21 arası və >= 1.7.0-beta.0 ilə <= 1.7.0-beta.9 arası autentifikasiyadan yan keçmə boşluğu ehtiva edir. SCIM tokeninin verilməsi zamanı mövcud SSO, SAML, OIDC, ümumi OAuth və ya sosial hesab provayderləri tərəfindən artıq istifadə edilən provayder ID-lər rədd edilmir və həm SCIM provayder konfiqurasiyası, həm də hesab mülkiyyəti üçün eyni məntiqi provayder ID-dən istifadə olunurdu. Autentifikasiya olunmuş istifadəçi, provayder ID-si mövcud provayder ad sahəsi ilə toqquşan bir SCIM tokeni yarada bilərdi ki, bu da SCIM istifadəçi marşrutlarının token tərəfindən təmin edilməmiş hesab sətirlərini həll etməsinə səbəb olurdu. Bu, qlobal istifadəçi hesablarının və sessiyalarının siyahılanmasına, oxunmasına, yenilənməsinə (unikallıq yoxlamaları olmadan qlobal profil/e-poçt sahələrinin yenidən yazılması daxil olmaqla) və silinməsinə şərait yaradaraq, hesabın ələ keçirilməsinə və icazəsiz deprowizioninq-ə gətirib çıxarırdı. Problem 1.6.22 və 1.7.0-beta.10 (1.7.0-rc.0) versiyalarında düzəldilib.