PT-2025-62894
CVE-2025-71400
·
تاريخ النشر
2025-11-25
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات better-auth passkey الأقدم من 1.4.0
الوصف
يحدث «إشارة مباشرة غير آمنة إلى كائن» في نقطة نهاية حذف مفتاح المرور (passkey)، مما يسمح للمستخدمين المصادق عليهم بحذف أي مفتاح مرور. يمكن للمهاجمين الذين لديهم جلسات عمل صالحة إرسال طلبات مصممة خصيصًا إلى نقطة النهاية ’/passkey/delete-passkey‘ عن طريق تعداد معرّفات مفتاح المرور. تنبع المشكلة من الثقة الضمنية في المتغير
ctx.body.id أثناء استعلامات الحذف. وتكون التطبيقات التي تم تكوينها باستخدام useNumberId معرضة بشكل خاص لهذا الخطر، حيث قد تستخدم معرّفات ذات زيادة تلقائية، مما يسهّل عملية حذف جميع مفاتيح المرور من خلال التعداد.التوصيات
تحديث better-auth passkey إلى الإصدار 1.4.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾