CVE-2026-67329

Nome do Software Vulnerável e Versões Afetadas @better-auth/stripe versões 1.4.11 até 1.6.20 @better-auth/stripe versões 1.7.0-beta.0 até 1.7.0-beta.9

Description Existe uma falha de bypass de autorização em ações de assinatura de organização. O problema ocorre porque o middleware valida o ID da organização proveniente da query string da requisição usando o callback authorizeReference, enquanto o manipulador de rota lê o ID da organização apenas do corpo da requisição ou recorre à organização ativa do solicitante em sua sessão. Quando esses IDs diferem, um membro autenticado de múltiplas organizações pode realizar ações de assinatura — como cancelar, alterar planos, restaurar ou acessar o portal de faturamento — em uma organização da qual faz parte, mas que não deveria gerenciar. Isso permite o acesso não autorizado a detalhes de faturamento, incluindo métodos de pagamento, faturas e estado da assinatura.

Recommendations Atualize o @better-auth/stripe para a versão 1.6.21 ou posterior. Atualize o @better-auth/stripe para a versão 1.7.0-beta.10 ou posterior. Como medida paliativa temporária, configure o callback authorizeReference para retornar false caso o ID solicitado não corresponda ao ID da organização ativa do solicitante.