CVE-2026-53517
CVE-2026-53517 · Better Auth OAuth Provider: Refresh Token Rotation Race Condition Allows Concurrent Replay and Token Family Forking
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Better Auth is an authentication and authorization library for TypeScript. From 1.4.8-beta.7 until 1.6.11, the @better-auth/oauth-provider POST /oauth2/token endpoint on the refresh_token grant performs a non-atomic read, validate, revoke, and mint sequence on the oauthRefreshToken row, allowing concurrent requests with the same parent refresh token to pass the revoked check and create forked refresh-token families; the vulnerable range also includes embedded better-auth plugin versions before 1.6.0. This issue is fixed in version 1.6.11.
CVSS 8.1 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
better-auth
- Softwareversionen
- >= 1.4.8-beta.7, < 1.6.0: Betroffen
Keine Korrektur veröffentlicht
oauth-provider
- Softwareversionen
- >= 1.6.0, < 1.6.11: Betroffen
Keine Korrektur veröffentlicht
@better-auth/oauth-provider npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 1.6.0, < 1.6.11
Auf 1.6.11 aktualisieren
better-auth npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 1.4.8-beta.7, < 1.6.0
Auf 1.6.0 aktualisieren