Më 27 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-965c-763c-88jm (CVE-2026-114607) për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën better-auth të ekosistemit npm.
Paketat e prekura
- better-auth (npm) — versionet e prekura:
>= 1.4.0-beta.18, < 1.7.7; versioni me rregullim:1.7.7
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-287 (Improper Authentication)
- Identifikuesit: GHSA-965c-763c-88jm, CVE-2026-114607
Përmbledhja zyrtare
better-auth: Gjendja OAuth mund të përdoret si Magic Link për të hyrë në llogarinë e një përdoruesi tjetër
Një cenueshmëri në better-auth mund të prekë instalimet nga versioni 1.4.0-beta.18 deri te versionet para 1.7.7, nëse përdorin shtojcën Magic Link dhe hyrjen përmes ofruesve socialë ose Generic OAuth. Problemi lidhet me mundësinë që gjendja OAuth të përdoret si Magic Link për të hyrë në llogarinë e një përdoruesi tjetër.
Sipas kushteve të renditura, Magic Link duhet të jetë aktiv me konfigurimin e parazgjedhur storeToken: "plain", ose me storeToken: "hashed" së bashku me konfigurimin global verification.storeIdentifier: "hashed". Ky kusht përfshin edhe rastin kur ruajtja e identifikuesit në formë hash është parazgjedhja.
Gjithashtu, duhet të jetë aktiv të paktën një ofrues social i integruar ose një ofrues Generic OAuth, ndërsa gjendja OAuth duhet të përdorë account.storeStateStrategy: "database". Teksti e kushtëzon prekjen nga cenueshmëria me përmbushjen e të gjitha kushteve, por fragmenti i dhënë ndërpritet gjatë shpjegimit të kushtit të fundit.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin better-auth, përditësojeni sa më shpejt në versionin 1.7.7 ose më të ri.
