CVE-2026-67330
KrytyczneCVSS 9.9Streszczenie
Wtyczka @better-auth/scim w wersjach od 1.4.0-beta.27 do 1.6.21 oraz od 1.7.0-beta.0 do 1.7.0-beta.9 zawiera podatność na ominięcie autoryzacji. Emisja tokenów SCIM nie odrzucała identyfikatorów dostawców już używanych przez istniejących dostawców SSO, SAML, OIDC, OAuth lub kont społecznościowych, a ten sam logiczny identyfikator dostawcy był używany zarówno do konfiguracji dostawcy SCIM, jak i do własności konta. Uwierzytelniony użytkownik mógł wygenerować token SCIM, którego identyfikator dostawcy kolidował z istniejącą przestrzenią nazw dostawcy, powodując, że trasy użytkowników SCIM rozwiązywały wiersze kont, których token nigdy nie udostępnił. Umożliwiło to wyświetlanie, odczytywanie, aktualizowanie (w tym przepisywanie globalnych pól profilu/e-mail bez sprawdzania unikalności) oraz usuwanie globalnych kont użytkowników i sesji, co prowadziło do przejęcia konta i nieautoryzowanego deprovisioningu. Naprawione w wersjach 1.6.22 i 1.7.0-beta.10 (1.7.0-rc.0).
Ocena ryzyka
Ryzyko obejmuje przejęcie kont użytkowników i nieautoryzowane usuwanie kont, co może prowadzić do naruszenia poufności i integralności danych oraz przerwania działania usług.
Rekomendacja
Należy zaktualizować wtyczkę @better-auth/scim do wersji 1.6.22 lub 1.7.0-beta.10 (1.7.0-rc.0) lub nowszej.
Oryginalny opis (angielski, źródło NVD)
@better-auth/scim (a better-auth plugin) versions >= 1.4.0-beta.27 through <= 1.6.21 and >= 1.7.0-beta.0 through <= 1.7.0-beta.9 contain an authorization bypass. SCIM token issuance did not reject provider IDs already used by existing SSO, SAML, OIDC, generic OAuth, or social account providers, and the same logical provider ID was used for both SCIM provider configuration and account ownership. An authenticated user could mint a SCIM token whose provider ID collided with an existing provider namespace, causing SCIM user routes to resolve account rows the token never provisioned. This allowed listing, reading, updating (including rewriting global profile/email fields without uniqueness checks), and deleting global user accounts and sessions, resulting in account takeover and unauthorized deprovisioning. Fixed in 1.6.22 and 1.7.0-beta.10 (1.7.0-rc.0).