CVE-2026-80192

WysokieCVSS 8.1

Opublikowano: 26/08/2026(UTC)Zaktualizowano: 29/08/2026(UTC)Przetłumaczono: 26/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

@better-auth/sso przed wersją 1.6.27 (oraz przed 1.4.8 w linii 1.4.x i przed 1.7.0-rc.5 w linii 1.7) zawiera dwie wady dotyczące własności domen. Gdy weryfikacja domeny jest wyłączona, automatyczne przypisywanie organizacji akceptuje niezweryfikowane domeny dostawcy, co pozwala uwierzytelnionemu właścicielowi organizacji na zarejestrowanie dostawcy SSO dla dowolnej domeny i dodanie użytkowników z pasującymi domenami e-mail do organizacji atakującego z domyślnymi uprawnieniami członka. Gdy weryfikacja domeny jest włączona, wyścig między endpointami verify-domain i update-provider może zastosować dowód DNS do innej domeny; w połączeniu z niejawnym łączeniem kont może to powiązać dostawcę tożsamości kontrolowanego przez atakującego z istniejącym kontem użytkownika.

Ocena ryzyka

Atakujący może przejąć kontrolę nad organizacją lub kontami użytkowników, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia integralności systemu.

Rekomendacja

Zaktualizuj @better-auth/sso do wersji zawierającej poprawkę i włącz weryfikację domeny oraz rozważ wyłączenie niejawnego łączenia kont.

Inne podatności w @better-auth/sso

CVE-2026-67328Wysokie
@better-auth/sso przed wersją 1.6.21 zawiera wiele luk obejścia uwierzytelniania w obsłudze dostawców SSO, umożliwiających atakującym logowanie się jako dowolni użytkownicy. Atakujący mogą wykorzystać niezgodności w parsowaniu weryfikacji domeny, osierocone konta dostawców, niepowiązane asercje SAML lub odbite XSS na punktach końcowych wylogowania, aby uzyskać nieautoryzowany dostęp do sesji i przejąć konto.

Oryginalny opis (angielski, źródło NVD)

@better-auth/sso before 1.6.27 (and before 1.4.8 in the 1.4.x line and before 1.7.0-rc.5 in the 1.7 prerelease line) contains two domain-ownership flaws. When domain verification is disabled, automatic organization assignment accepts unverified provider domains, allowing an authenticated organization owner/administrator to register an SSO provider for an arbitrary domain and have users with matching email domains added to the attacker's organization with default member permissions. When domain verification is enabled, a race condition between the verify-domain and update-provider endpoints can apply completed DNS proof to a different domain; combined with implicit account linking, this can link an attacker-controlled identity provider to an existing user account. Exploitation requires the SSO plugin (and, for the org-assignment path, the organization plugin) with the relevant configuration enabled.