Goksan

يستخدم Better Auth مكتبة better-call، التي تعتمد على جهاز التوجيه rou3. في الإصدارات المتأثرة من rou3، تتم توحيد المسارات عن طريق إزالة الأجزاء الفارغة، مما يؤدي إلى تحويل مسارات مثل `/path` و`//path` و`///path` إلى نفس المسار. يتيح هذا السلوك للمهاجمين تجاوز إعدادات `disabledPaths` وحدود المعدل المستندة إلى المسار عن طريق تضمين شرطات مائلة إضافية في مسار عنوان URL. لا تؤثر هذه المشكلة على عمليات النشر التي يقوم فيها الوكيل أو النظام الأساسي بتوحيد عناوين URL تلقائيًا عن طريق دمج الشرطات المائلة المتعددة.

توجد مشكلة تتمثل في إمكانية قيام طلب خارجي بتكوين `baseURL` عندما لا يكون محددًا بشكل صريح (على سبيل المثال، عندما لا يكون `BETTER AUTH URL` محددًا). يحدث هذا لأن النظام يثق ضمنيًا في رؤوس `X-Forwarded-Host` و`X-Forwarded-Proto`. يمكن للمهاجم الذي يستطيع إرسال الطلب الأول إلى الخادم بعد بدء التشغيل استخدام هذه الرؤوس لتلويث المسار الأساسي للموجه. ويؤدي هذا إلى هجوم رفض الخدمة حيث تعرض جميع المسارات اللاحقة خطأ 404 لجميع المستخدمين حتى يتم إعادة تشغيل الخادم. لا يمكن استغلال هذه الثغرة في منصات الاستضافة المُدارة النموذجية أو عندما يتم تكوين `baseURL` بشكل صريح.

يحدث «إشارة مباشرة غير آمنة إلى كائن» في نقطة نهاية حذف مفتاح المرور (passkey)، مما يسمح للمستخدمين المصادق عليهم بحذف أي مفتاح مرور. يمكن للمهاجمين الذين لديهم جلسات عمل صالحة إرسال طلبات مصممة خصيصًا إلى نقطة النهاية ’/passkey/delete-passkey‘ عن طريق تعداد معرّفات مفتاح المرور. تنبع المشكلة من الثقة الضمنية في المتغير `ctx.body.id` أثناء استعلامات الحذف. وتكون التطبيقات التي تم تكوينها باستخدام `useNumberId` معرضة بشكل خاص لهذا الخطر، حيث قد تستخدم معرّفات ذات زيادة تلقائية، مما يسهّل عملية حذف جميع مفاتيح المرور من خلال التعداد.