Goksan

O Better Auth utiliza a biblioteca better-call, que depende do roteador rou3. Em versões afetadas do rou3, os caminhos são normalizados removendo segmentos vazios, fazendo com que caminhos como `/path`, `//path` e `///path` sejam resolvidos para a mesma rota. Esse comportamento permite que atacantes ignorem a configuração `disabledPaths` e os limites de taxa baseados em caminho ao incluir barras extras no caminho da URL. Este problema não afeta implantações onde o proxy ou a plataforma normaliza automaticamente as URLs colapsando barras múltiplas.

Existe um problema onde uma requisição externa pode configurar o `baseURL` quando este não está explicitamente definido (por exemplo, quando `BETTER AUTH URL` não está configurado). Isso ocorre porque o sistema confia implicitamente nos cabeçalhos `X-Forwarded-Host` e `X-Forwarded-Proto`. Um invasor que consiga enviar a primeira requisição ao servidor após a inicialização pode usar esses cabeçalhos para envenenar o caminho base do roteador. Isso resulta em uma negação de serviço onde todas as rotas subsequentes retornam um erro 404 para todos os usuários até que o servidor seja reiniciado. Este problema não é acessível em plataformas de hospedagem gerenciadas típicas ou quando o `baseURL` está explicitamente configurado.

Ocorre uma referência direta a objeto insegura no endpoint de exclusão de passkeys, permitindo que usuários autenticados excluam passkeys arbitrárias. Atacantes com sessões válidas podem enviar requisições manipuladas para o endpoint '/passkey/delete-passkey' enumerando IDs de passkeys. O problema decorre da variável `ctx.body.id` ser implicitamente confiada durante as consultas de exclusão. Aplicações configuradas com `useNumberId` são particularmente suscetíveis, pois podem utilizar IDs de auto-incremento, simplificando o processo de exclusão de todas as passkeys via enumeração.