CVE-2026-67336
CVE-2026-67336 · better-auth before 1.6.11 Insecure Cryptographic Defaults via oidcProvider
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
better-auth versions before 1.6.11 contain insecure cryptographic defaults in the oidcProvider and mcp plugins that advertise the none algorithm and accept plain PKCE by default. Attackers can exploit algorithm negotiation to accept unsigned tokens or intercept authorization codes when PKCE plain is used instead of the required S256 method.
CVSS 9.4 · Kritisch · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
better-auth
- Softwareversionen
- ≥ 0, < 1.6.11: Betroffen (semver)
- 1.6.11: Nicht betroffen (semver)
Auf 1.6.11 aktualisieren
better-auth npm
- Betroffene Versionsbereiche
- SEMVER: < 1.6.11
Auf 1.6.11 aktualisieren