CVE-2026-45337

Better Auth: błędna autoryzacja w pluginie deviceAuthorization umożliwia przejęcie sesji urządzenia

CVSS 7.6v3.1pub. 2026-07-15upd. 2026-07-21

W bibliotece Better Auth (wersje 1.6.0–1.6.10) plugin deviceAuthorization nieprawidłowo weryfikuje własność oczekujących kodów urządzenia, co pozwala uwierzytelnionemu atakującemu na powiązanie urządzenia z jego własnym kontem lub zablokowanie legalnego procesu autoryzacji. Podatność jest szczególnie groźna w środowiskach korzystających z przepływu OAuth Device Authorization Grant.

▸ Pokaż oryginał (EN)

Better Auth is an authentication and authorization library for TypeScript. From 1.6.0 until 1.6.11, the deviceAuthorization plugin treats any authenticated session as the owner of any pending device code because GET /device does not claim the row and POST /device/approve and POST /device/deny short-circuit when userId is unset, allowing an authenticated attacker who learns a valid user_code to bind the polling device to the attacker's account or deny the legitimate flow. This issue is fixed in version 1.6.11.

🤖 Analiza AI

Jak działa

Endpoint GET /device nie rezerwuje (nie przypisuje) wiersza z oczekującym kodem urządzenia do konkretnej sesji użytkownika. Endpointy POST /device/approve oraz POST /device/deny kończą działanie wcześnie (short-circuit), gdy pole userId nie jest ustawione, zamiast odrzucić żądanie. W konsekwencji każdy uwierzytelniony użytkownik, który pozna ważny user_code, może zatwierdzić autoryzację urządzenia tak, że zostanie ono przypisane do jego konta zamiast do konta prawowitego właściciela, lub może odrzucić (deny) ten przepływ, uniemożliwiając legalne sparowanie urządzenia.

Skutki

Atakujący może przejąć kontrolę nad urządzeniem innego użytkownika poprzez powiązanie go z własnym kontem (naruszenie poufności i integralności) lub sabotować legalny proces autoryzacji przez odrzucenie oczekującego kodu urządzenia.

Mitygacja

Należy zaktualizować bibliotekę Better Auth do wersji 1.6.11, w której problem został naprawiony. Patch dostępny jest w repozytorium GitHub (tag v1.6.11).

Kogo dotyczy

Better Auth w wersjach od 1.6.0 do 1.6.10 (włącznie) z aktywnym pluginem deviceAuthorization

Uwagi

Podatność została zgłoszona i naprawiona w ramach GitHub Security Advisory GHSA-cq3f-vc6p-68fh. Fix wprowadzono w commicie 99a254a79b59d5a3f5ca2123260118cddb5beed7.