CVE-2026-53517
CVE-2026-53517 · Better Auth OAuth Provider: Refresh Token Rotation Race Condition Allows Concurrent Replay and Token Family Forking
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Better Auth is an authentication and authorization library for TypeScript. From 1.4.8-beta.7 until 1.6.11, the @better-auth/oauth-provider POST /oauth2/token endpoint on the refresh_token grant performs a non-atomic read, validate, revoke, and mint sequence on the oauthRefreshToken row, allowing concurrent requests with the same parent refresh token to pass the revoked check and create forked refresh-token families; the vulnerable range also includes embedded better-auth plugin versions before 1.6.0. This issue is fixed in version 1.6.11.
CVSS 8.1 · Alta · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
better-auth
- Versiones
- >= 1.4.8-beta.7, < 1.6.0: Afectada
Sin corrección publicada
oauth-provider
- Versiones
- >= 1.6.0, < 1.6.11: Afectada
Sin corrección publicada
@better-auth/oauth-provider npm
- Intervalos de versiones afectados
- SEMVER: ≥ 1.6.0, < 1.6.11
Actualiza a 1.6.11
better-auth npm
- Intervalos de versiones afectados
- SEMVER: ≥ 1.4.8-beta.7, < 1.6.0
Actualiza a 1.6.0