CVE-2026-67334
CVE-2026-67334 · better-auth Stale Sessions Persist After User Deletion
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
better-auth versions before 1.6.11 fail to delete cached sessions when removing users via admin, anonymous, or SCIM endpoints when secondaryStorage is configured and storeSessionInDatabase is false. Attackers can reuse deleted user session tokens to maintain authentication for up to seven days after account deletion.
CVSS 5.1 · Media · EPSS 0,3% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
better-auth
- Versiones
- ≥ 0.3.4, < 1.6.11: Afectada (semver)
- 1.6.11: No afectada (semver)
Actualiza a 1.6.11
better-auth
- Versiones
- ≥ 1.6.0, < 1.6.11: Afectada (semver)
- 1.6.11: No afectada (semver)
Actualiza a 1.6.11
better-auth npm
- Intervalos de versiones afectados
- SEMVER: ≥ 0.3.4, < 1.6.11
Actualiza a 1.6.11
@better-auth/scim npm
- Intervalos de versiones afectados
- SEMVER: ≥ 1.6.0, < 1.6.11
Actualiza a 1.6.11