CVE-2025-71401

Nome do Software Vulnerável e Versões Afetadas better-auth (npm) versões anteriores a 1.4.2

Description Existe um problema onde uma requisição externa pode configurar o baseURL quando este não está explicitamente definido (por exemplo, quando BETTER AUTH URL não está configurado). Isso ocorre porque o sistema confia implicitamente nos cabeçalhos X-Forwarded-Host e X-Forwarded-Proto. Um invasor que consiga enviar a primeira requisição ao servidor após a inicialização pode usar esses cabeçalhos para envenenar o caminho base do roteador. Isso resulta em uma negação de serviço onde todas as rotas subsequentes retornam um erro 404 para todos os usuários até que o servidor seja reiniciado. Este problema não é acessível em plataformas de hospedagem gerenciadas típicas ou quando o baseURL está explicitamente configurado.

Recommendations Atualize o better-auth (npm) para a versão 1.4.2 ou posterior. Configure explicitamente o baseURL (por exemplo, via BETTER AUTH URL) para evitar que o sistema dependa de cabeçalhos de requisição para configuração.