p PatchFirst

CVE-2026-53512

CVE-2026-53512 · Better Auth: OAuth refresh-token replay via missing client authentication on oidc-provider and mcp plugins

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Better Auth is an authentication and authorization library for TypeScript. Prior to 1.6.11, the legacy oidcProvider and mcp plugins expose OAuth token endpoints whose refresh_token grant authenticates only possession of the bound refreshToken row and matching client_id, without verifying the confidential client's client_secret, allowing an attacker with a valid refresh_token to mint access tokens and rotated refresh tokens through /api/auth/oauth2/token or /api/auth/mcp/token. The @better-auth/oauth-provider package is not affected. This issue is fixed in version 1.6.11.

CVSS 9.1 · Kritisch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • better-auth

    Softwareversionen
    • < 1.6.11: Betroffen

    Keine Korrektur veröffentlicht

  • better-auth npm

    Betroffene Versionsbereiche
    • SEMVER: < 1.6.11

    Auf 1.6.11 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →