CVE-2026-45337

Nome do Software Vulnerável e Versões Afetadas Better Auth versões 1.6.0 até 1.6.10

Descrição O plugin deviceAuthorization trata incorretamente qualquer sessão autenticada como proprietária de qualquer código de dispositivo pendente. Isso ocorre porque o endpoint GET /device não reivindica a linha, e os endpoints POST /device/approve e POST /device/deny sofrem um curto-circuito quando a variável userId não está definida. Um invasor autenticado que obtenha um user code válido pode vincular o dispositivo de consulta à sua própria conta ou negar o fluxo de autenticação legítimo. Este problema é uma forma de Session Spying (Espionagem de Sessão), onde uma parte maliciosa sequestra uma sessão ao completar a autorização antes do usuário legítimo.

Recomendações Atualize para a versão 1.6.11 ou posterior. Como solução temporária, desative o plugin deviceAuthorization removendo-o da array de plugins. Como solução temporária, adicione um hook before nos endpoints POST /device/approve e POST /device/deny para rastrear qual sessão chamou GET /device para cada código de usuário e rejeite chamadas de sessões diferentes. Como solução temporária, reduza a janela de exploração encurtando o tempo de vida pendente dos códigos de dispositivo através da opção expiresIn do plugin.