p PatchFirst

CVE-2026-67335

CVE-2026-67335 · better-auth before 1.6.2 OAuth State Validation Bypass

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

better-auth versions before 1.6.2 fail to validate the OAuth state parameter against the stored nonce when using cookie-backed state storage without PKCE. Attackers can forge the state parameter and supply an attacker-controlled authorization code to create authenticated sessions bound to the attacker's external identity or persistently link attacker accounts to victim profiles.

CVSS 6.0 · Moyenne · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • better-auth

    Versions du logiciel
    • ≥ 0, < 1.6.2: Concernée (semver)
    • 1.6.2: Non concernée (semver)

    Mettez à jour vers 1.6.2

  • better-auth npm

    Plages de versions concernées
    • SEMVER: < 1.6.2

    Mettez à jour vers 1.6.2

Sources originales

Vérifiez votre serveur →