p PatchFirst

CVE-2026-53514

CVE-2026-53514 · Better Auth: Unauthorized invitation acceptance via unverified email match in organization plugin

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Better Auth is an authentication and authorization library for TypeScript. Prior to 1.6.11, and in 1.6.14 and later when invitation IDs can be obtained outside the invited mailbox and requireEmailVerificationOnInvitation: true is not enabled, the organization plugin's acceptInvitation, rejectInvitation, getInvitation, and listUserInvitations recipient endpoints use session.user.email and an invitation ID without sufficient verified-email ownership proof, allowing a user with an unverified session for the invited email address to accept an organization invitation after obtaining the invitation ID. This issue is fixed for the original default behavior in version 1.6.11, while 1.6.14 restored compatibility for built-in opaque invitation IDs and leaves affected configurations requiring secure options.

CVSS 7.7 · Hoch · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • better-auth

    Softwareversionen
    • < 1.6.11: Betroffen

    Keine Korrektur veröffentlicht

  • better-auth npm

    Betroffene Versionsbereiche
    • SEMVER: < 1.6.11

    Auf 1.6.11 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →