CVE-2026-67335

إصدارات better-auth الأقدم من 1.6.2

توجد مشكلة تتمثل في فشل البرنامج في التحقق من صحة معلمة الحالة OAuth مقابل الرقم العشوائي (nonce) المخزن عند استخدام تخزين الحالة المدعوم بملفات تعريف الارتباط دون استخدام PKCE (مفتاح الإثبات لتبادل الكود). في دالة parseGenericState، قام فرع ملفات تعريف الارتباط بفك تشفير ملف تعريف الارتباط oauth state والتحقق من صلاحيته، لكنه لم يقارن معلمة الاستعلام state الواردة من OAuth بقيمة nonce التي تم إصدارها عند تسجيل الدخول. وهذا يسمح للمهاجمين بتزوير معلمة state وتقديم رمز تفويض يتحكم فيه المهاجم إلى نقطة النهاية /api/auth/oauth2/callback/<providerId>. ويمكن أن يؤدي ذلك إلى «تسجيل الدخول القسري» (CSRF في استدعاء OAuth)، حيث يتم وضع متصفح الضحية في جلسة عمل مرتبطة بالهوية الخارجية للمهاجم، أو «ربط الحساب الدائم»، حيث يتم ربط الحساب الخارجي للمهاجم بملف تعريف الضحية الذي تمت مصادقته.

الترقية إلى الإصدار 1.6.2 أو أحدث.

تغيير storeStateStrategy إلى database.

تمكين pkce: true على كل مزود genericOAuth متأثر.