PT-2026-41393
CVE-2026-45364
·
تاريخ النشر
2026-05-15
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Better Auth الأقدم من 1.4.17
إصدارات Better Auth الأقدم من 1.5.0-beta.9
الوصف
يعمل محدد معدل HTTP في Better Auth على تحديد الطلبات استنادًا إلى عنوان IP النصي الدقيق الموجود في رأس
x-forwarded-for أو أي رؤوس أخرى مكونة تحتوي على عنوان IP. ويسمح هذا التنفيذ لعملاء IPv6 الذين لديهم تخصيص /64 بالتناوب بين 2^64 عنوان مصدر مختلف، مما يؤدي فعليًّا إلى تجاوز حدود المعدل على نقاط النهاية مثل ’/sign-in/email‘ و'/sign-up/email' و'/forget-password'. بالإضافة إلى ذلك، يمكن لعميل واحد تجاوز المحدد عن طريق تغيير الترميز النصي لعنوان IPv6 (على سبيل المثال، باستخدام الأحرف الكبيرة أو الضغط أو التنسيقات المقترنة بـ IPv4) لتوليد مفاتيح متعددة ومتميزة. تحدث هذه المشكلة لأن الدالة getIp() تُرجع قيمة عنوان IP حرفياً، بينما تقوم الدالة onRequestRateLimit() بإنشاء المفاتيح عبر عملية ربط سلاسل نصية بسيطة. يتيح هذا التجاوز إجراء محاولات مصادقة غير محدودة، مما يسهل عمليات حشو بيانات الاعتماد وهجمات القوة الغاشمة وتعداد الحسابات.التوصيات
بالنسبة للإصدارات الأقدم من 1.4.17، قم بالترقية إلى الإصدار 1.4.17 أو أحدث.
بالنسبة للإصدارات الأقدم من 1.5.0-beta.9، قم بالترقية إلى الإصدار 1.5.0-beta.9 أو أحدث.
كحل بديل للإصدار 1.4.16، قم بتعيين
advanced.ipAddress.ipv6Subnet: 64 في التكوين.بالنسبة للإصدارات الأقدم من 1.4.16، قم بتكوين طول بادئة IPv6 إلى /64 (أو أقل دقة) في سياسة تحديد معدل الاستخدام الخاصة بشبكة CDN أو WAF أو موزع الحمل في المنبع.
كإجراء تخفيف جزئي لأي إصدار
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾