CVE-2026-121802
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-346
- KEV Durumu
- Hayır
Yayım tarihi: 4 Kasım 2026
@better-auth/expo 1.7.16 sürümünden önce, belirli hesap ele geçirme sonuçlarına (örneğin, herhangi bir hesabın e-posta adresinin kimlik doğrulaması olmadan değiştirilmesi) izin verir, çünkü sunucu tarafından verilmiş olup olmadığını kontrol etmeden çağırıcı tarafından sağlanan durum değerini imzalar. NOT: uygulamayı güncelledikten sonra uygulama gizli anahtarının döndürülmesi gerekir.
Orijinal açıklama (İngilizce)
@better-auth/expo before 1.7.16 allows certain account-takeover outcomes (e.g., unauthenticated changes of any account's email address), because it signs a caller-supplied state value without checking whether that value had been issued by the server. NOTE: the application secret must be rotated after updating to a fixed version.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.