CVE-2026-53517

@better-auth/oauth-provider من الإصدار 1.6.0 إلى 1.6.10

better-auth من الإصدار 1.4.8-beta.7 إلى 1.5.x

نقطة النهاية POST /oauth2/token الخاصة بـ @better-auth/oauth-provider معرضة لحدوث حالة تنافس أثناء عملية منح refresh token. يقوم النظام بتنفيذ تسلسل غير مترابط من عمليات القراءة والتحقق من الصحة والإلغاء وإنشاء صف oauthRefreshToken. وهذا يسمح للطلبات المتزامنة التي تستخدم نفس رمز التحديث الأصلي بتجاوز فحص الإلغاء، مما يؤدي إلى إنشاء مجموعات متفرعة من رموز التحديث. يمكن أن تؤدي هذه المشكلة إلى وصول غير مصرح به إلى أجل غير مسمى في حالة سرقة رمز التحديث، حيث يمكن للمهاجم الحفاظ على فرع صالح من الرموز يستمر في العمل حتى بعد عمليات الإلغاء الفردية. يوجد هذا الخلل لأن شرط التحديث يعتمد فقط على المعرّف (ID) ولا يتحقق من أن الرمز لم يتم إلغاؤه بالفعل، كما أن مخطط قاعدة البيانات يفتقر إلى قيد فريد على حقل الرمز.

قم بترقية @better-auth/oauth-provider إلى الإصدار 1.6.11 أو أحدث.

قم بترقية better-auth إلى الإصدار 1.6.0 أو أحدث.

كإجراء تخفيفي مؤقت، لا تطلب نطاق offline access لمنع إنشاء رموز التحديث.

كإجراء تخفيفي مؤقت، اضبط refreshTokenExpiresIn على قيمة منخفضة جدًا (على سبيل المثال، 60 ثانية) للحد من استمرار وجود مجموعات الرموز المتفرعة.

كإجراء تخفيفي مؤقت، قم بتكوين محول قاعدة البيانات لتشغيل معالج تحديث OAuth في ظل عزل قابل للتسلسل أو استخدم سياسة على مستوى الصفوف