PT-2026-67316
CVE-2026-67336
·
تاريخ النشر
2026-07-07
·
تاريخ التحديث
2026-10-21
الوصف من
CVSS 4.0
9.4
حرجةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات better-auth الأقدم من 1.6.11
الوصف
تحتوي المكونات الإضافية
oidcProvider وmcp على إعدادات افتراضية غير آمنة للتشفير. يُعلن مستند الاكتشاف عن خوارزمية none في id token signing alg values supported (وresource signing alg values supported بالنسبة للمكون الإضافي mcp)، مما قد يسمح للأطراف المعتمدة التي تجري تفاوضًا على الخوارزمية دون التثبيت على خوارزمية توقيع محددة بقبول الرموز غير الموقعة. بالإضافة إلى ذلك، تقوم المكونات الإضافية بتمكين PKCE plain بشكل افتراضي. يقبل معالج التفويض code challenge method=plain أو يقوم بصمت بتخفيض معلمات code challenge method المفقودة إلى plain، مما يؤدي إلى فشل حماية رموز التفويض في حالة تعرض عنوان URL لأطراف غير مصرح لها. يتعارض هذا السلوك مع الطريقة المعلنة S256 وينتهك معايير OAuth 2.1.التوصيات
قم بالترقية إلى الإصدار 1.6.11 أو أحدث من better-auth.
قم بالترحيل من المكونات الإضافية
oidcProvider وmcp التي تم إهمالها إلى @better-auth/oauth-provider.كحل مؤقت، قم بتعيين
oidcProvider({ allowPlainCodeChallengeMethod: false }) أو ما يعادله للمكون الإضافي mcp لتعطيل PKCE العادي.كحل مؤقت، قم بتجاوز البيانات الوصفية لإزالة
none من id token signing alg values supported عن طريق تمرير metadata: { id token signing alg values supported: [”RS256“] } لمكوّن oidcProvider أو تعيين نفس القيمة في options.oidcConfig.metadata لمكوّن mcp.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾