CVE-2026-67334
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
better-auth przed wersją 1.6.11 nie usuwa buforowanych sesji podczas usuwania użytkowników przez endpointy admin, anonymous lub SCIM, gdy skonfigurowano secondaryStorage i storeSessionInDatabase jest ustawione na false. Atakujący mogą ponownie użyć tokenów sesji usuniętych użytkowników, aby utrzymać uwierzytelnienie przez okres do siedmiu dni po usunięciu konta.
Ocena ryzyka
Umożliwia to nieautoryzowany dostęp do systemu przez byłych użytkowników, których konta zostały usunięte, co narusza integralność i poufność danych.
Rekomendacja
Zaktualizuj better-auth do wersji 1.6.11 lub nowszej, która zawiera poprawkę usuwania buforowanych sesji.
Oryginalny opis (angielski, źródło NVD)
better-auth versions before 1.6.11 fail to delete cached sessions when removing users via admin, anonymous, or SCIM endpoints when secondaryStorage is configured and storeSessionInDatabase is false. Attackers can reuse deleted user session tokens to maintain authentication for up to seven days after account deletion.