CVE-2026-45364

Better Auth, TypeScript için bir kimlik doğrulama ve yetkilendirme kütüphanesidir. 1.4.17 ve 1.5.0-beta.9 sürümlerinden önce, Better Auth'un HTTP hız sınırlayıcısı her isteği, x-forwarded-for (veya yapılandırılmış IP taşıyan başlık) içinde aldığı tam metinsel IP adresiyle anahtarlıyordu. Tipik bir /64 tahsisatını kontrol eden IPv6 istemcileri, adres başına sayacı tüketmeden 2^64 farklı kaynak adresi arasında geçiş yapabiliyor; bu da /sign-in/email, /sign-up/email, /forget-password ve sınırlayıcının koruduğu diğer tüm yollardaki hız sınırlamasını etkisiz hale getiriyordu. Aynı hata, tek bir istemcinin bir IPv6 adresinin metinsel kodlamasını (büyük harf, sıkıştırma, IPv4-eşlenmiş, onaltılık kodlanmış IPv4-in-IPv6) değiştirerek birden fazla farklı anahtar üretmesine izin veriyordu. Bu güvenlik açığı 1.4.17 ve 1.5.0-beta.9 sürümlerinde giderilmiştir.