CVE-2025-71400

Nome do Software Vulnerável e Versões Afetadas better-auth passkey versões anteriores a 1.4.0

Description Ocorre uma referência direta a objeto insegura no endpoint de exclusão de passkeys, permitindo que usuários autenticados excluam passkeys arbitrárias. Atacantes com sessões válidas podem enviar requisições manipuladas para o endpoint '/passkey/delete-passkey' enumerando IDs de passkeys. O problema decorre da variável ctx.body.id ser implicitamente confiada durante as consultas de exclusão. Aplicações configuradas com useNumberId são particularmente suscetíveis, pois podem utilizar IDs de auto-incremento, simplificando o processo de exclusão de todas as passkeys via enumeração.

Recommendations Atualize o better-auth passkey para a versão 1.4.0 ou posterior.