p PatchFirst

CVE-2026-67335

CVE-2026-67335 · better-auth before 1.6.2 OAuth State Validation Bypass

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

better-auth versions before 1.6.2 fail to validate the OAuth state parameter against the stored nonce when using cookie-backed state storage without PKCE. Attackers can forge the state parameter and supply an attacker-controlled authorization code to create authenticated sessions bound to the attacker's external identity or persistently link attacker accounts to victim profiles.

CVSS 6.0 · Media · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • better-auth

    Versiones
    • ≥ 0, < 1.6.2: Afectada (semver)
    • 1.6.2: No afectada (semver)

    Actualiza a 1.6.2

  • better-auth npm

    Intervalos de versiones afectados
    • SEMVER: < 1.6.2

    Actualiza a 1.6.2

Fuentes originales

Comprueba tu servidor →