Veille sécuritéFrontend
P3Critique
Dans certaines configurations combinant Magic Link et OAuth, Better Auth pouvait accepter l’état OAuth comme jeton Magic Link, permettant à un attaquant non authentifié d’ouvrir une session au nom d’un utilisateur sans contrôler sa boîte mail. Le problème concerne les versions depuis 1.4.0-beta.18 jusqu’à 1.7.7 et a été corrigé en 1.7.7.
TypeScript
IdentifiantCVE-2026-114607
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.7.7
Source : NVD — CVE-2026-114607
Analyse technique
Le défaut concerne le rapprochement des identifiants de vérification Magic Link et de l’état OAuth lorsque certaines options de stockage et de stratégie de session sont activées.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-22 à 17:16:58.577Z, dans la période demandée. Sa mise à jour du 2026-10-23 est postérieure à la période et n’est pas retenue comme événement.
ImpactUn attaquant non authentifié peut obtenir une session pour un compte existant ou, si l’inscription est activée, créer un compte marqué à tort comme vérifié.
Versions affectéesBetter Auth 1.4.0-beta.18 à 1.7.6, sous les conditions de configuration décrites dans l’avis
Version corrigée1.7.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.1
Publication2026-10-22T17:16:58.577Z
Mise à jour2026-10-23T15:17:26.763Z
Action recommandée
Mettre à niveau Better Auth vers la version 1.7.7 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).