PT-2025-62895
CVE-2025-71401
·
تاريخ النشر
2025-12-01
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
better-auth (npm) الإصدارات الأقدم من 1.4.2
الوصف
توجد مشكلة تتمثل في إمكانية قيام طلب خارجي بتكوين
baseURL عندما لا يكون محددًا بشكل صريح (على سبيل المثال، عندما لا يكون BETTER AUTH URL محددًا). يحدث هذا لأن النظام يثق ضمنيًا في رؤوس X-Forwarded-Host وX-Forwarded-Proto. يمكن للمهاجم الذي يستطيع إرسال الطلب الأول إلى الخادم بعد بدء التشغيل استخدام هذه الرؤوس لتلويث المسار الأساسي للموجه. ويؤدي هذا إلى هجوم رفض الخدمة حيث تعرض جميع المسارات اللاحقة خطأ 404 لجميع المستخدمين حتى يتم إعادة تشغيل الخادم. لا يمكن استغلال هذه الثغرة في منصات الاستضافة المُدارة النموذجية أو عندما يتم تكوين baseURL بشكل صريح.التوصيات
قم بتحديث better-auth (npm) إلى الإصدار 1.4.2 أو أحدث.
قم بتكوين
baseURL بشكل صريح (على سبيل المثال، عبر BETTER AUTH URL) لمنع النظام من الاعتماد على رؤوس الطلبات في التكوين.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾