CVE-2026-109346
CVE-2026-109346 · better-auth 1.3.8-beta.3 before 1.7.0-rc.3 Device Authorization Phishing via /device
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
better-auth from 1.3.8-beta.3 before 1.7.0-rc.3 contains a UI misrepresentation vulnerability in the deviceAuthorization plugin because GET /device omits the requesting client_id and scope. Attackers can start a device request via /device/code, trick signed-in users into approving the code, then redeem it at /device/token for a live session token.
CVSS 8.5 · Hoch · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
better-auth
- Softwareversionen
- ≥ 1.3.8-beta.3, < 1.7.0-rc.3: Betroffen (semver)
- 1.7.0-rc.3: Nicht betroffen (semver)
Auf 1.7.0-rc.3 aktualisieren
better-auth npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 1.3.8-beta.3, < 1.7.0-rc.3
Auf 1.7.0-rc.3 aktualisieren