CVE-2026-67336
CVE-2026-67336 · better-auth before 1.6.11 Insecure Cryptographic Defaults via oidcProvider
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
better-auth versions before 1.6.11 contain insecure cryptographic defaults in the oidcProvider and mcp plugins that advertise the none algorithm and accept plain PKCE by default. Attackers can exploit algorithm negotiation to accept unsigned tokens or intercept authorization codes when PKCE plain is used instead of the required S256 method.
CVSS 9.4 · Crítica · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
better-auth
- Versiones
- ≥ 0, < 1.6.11: Afectada (semver)
- 1.6.11: No afectada (semver)
Actualiza a 1.6.11
better-auth npm
- Intervalos de versiones afectados
- SEMVER: < 1.6.11
Actualiza a 1.6.11