PT-2025-62896
CVE-2025-71402
·
تاريخ النشر
2025-11-26
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 3.1
9.6
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات better-auth من 1.3.35 إلى 1.3.99
الوصف
يحتوي المكون الإضافي متعدد الجلسات على ثغرة في مرحلة ما بعد الارتباط (after-hook) لنقطة النهاية
/sign-out. يثق النظام في ملفات تعريف الارتباط الأولية متعددة الجلسات ويقوم بإعادة توجيه القيم المستخرجة إلى الدالة deleteSessions() داخل internalAdapter دون التحقق من توقيع ملف تعريف الارتباط، مثل استخدام getSignedCookie(). وهذا يسمح للمهاجم بتقديم ملف تعريف ارتباط مزور من نوع multi-* لتشغيل عملية حذف رموز الجلسات التعسفية.التوصيات
قم بتحديث better-auth إلى الإصدار 1.4.0 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام المكون الإضافي multi-session حتى يتم تطبيق التحديث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾