Você é afetado se todos os seguintes segundos segundos segundos segundos segundos segundos segundos: - Você executa uma versão `Bet-auth` abaixo 1.6.22, ou um ` 1.7.0 - beta` abaixo de ` 1.7.0 -Beta. 10 `. - Você ativa o plugin de links mágicos ou o plugin de email- OTP. - Você também ativa o registro de email e senha com registro aberto. - Uma conta pode existir em um endereço antes do seu proprietário iniciar primeiro o registro com o fluxo sem senha.

Um atacante pode manter o acesso de senha à conta de uma vítima depois que a vítima começar a usá- la. O ataque é executado em três passos. Primeiro, com o registro aberto, o atacante inscreve- se usando o e- mail da vítima e uma senha que o atacante escolhe. A conta permanece não verificada, para que o atacante não possa usá- la ainda. Mais tarde, o verdadeiro proprietário entra com um link mágico ou um E- mail OTP. Esse passo marca a conta verificada, e a senha do atacante agora funciona nele. Quando uma conta já existe para um endereço, verificação de links mágicos e login de e- mail- OTP ambos iniciam sessão nessa conta. Eles marcam a verificação e emitem uma sessão. Antes da correção, nenhum deles removeu uma senha definida enquanto a conta ainda não estava verificada. Nenhuma das sessões já existentes foi revogada. Assim, uma senha definida antes de alguém provar o controle da caixa de correio continuou funcionando depois que o dono provou o controle.

Esta é uma fraqueza pré- sequestrando a conta. É a mesma classe que o aconselhamento de OAuth GHSA-g 38 m-r 43 w- p 2 q 7, aplicado aos fluxos de e- mail sem senha. A necessidade de verificação de e- mail não o impede. O passo de verificação é o momento exato que transforma a conta plantada em uma conta utilizável. A correção trata a prova atual de controle sobre o endereço como autoritário. Quando um fluxo encontrar uma conta cujo e- mail nunca foi confirmado, ele remove agora a senha e revoga as sessões existentes primeiro. Só então marca a conta verificada e emite a nova sessão. O dono assina como antes. Apenas o acesso criado antes da prova ser removida.

Atualizar para ` melhor- auth` 1.6.22 ou mais tarde na linha estável. No 1.7 linha pré- lançamento, atualização para ` 1.7.0 -Beta. 10 ` ou mais tarde. Anteriormente 1.7 betas, até e incluindo ` 1.7.0 -Beta. 9 `, ainda contenha o erro. Se você não puder atualizar imediatamente, você pode reduzir o risco de duas maneiras. Requer verificação de e- mail antes de aceitar qualquer senha em uma conta. Remova rapidamente as contas não verificadas, para que um endereço não possa ficar reservado por muito tempo. Ambos os passos encolhem a abertura, mas não a fecham. A atualização é a solução real.

O atacante ganha acesso duradouro a senha para uma conta da qual a vítima depende, ao lado da vítima. A partir daí, o atacante pode ler e alterar os dados da vítima. O atacante também pode reiniciar as credenciais e bloquear a vítima. A aquisição só termina quando a vítima se inscrever através do fluxo sem senha. Também precisa de uma configuração que pares que flui com e- mail aberto e registro de senha. Relato pela equipe de segurança do Vercel.

Registro de aconselhamento: GHSA-qq 9 h- g 4 jm- xgf 3. Não há nenhum identificador adicional listado. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 24 T 15: 44: 01.000 Z e lista a sua última modificação como 2026 - 07 - 24 T 15: 44: 01.000 Z.

Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:L. Informações sobre software e versão afetadas: pacote npm better- auth — ECOSISTEM: introduzido 1.1.3, corrigido 1.6.22. pacote npm better- auth — ECOSISTEM: introduzido 1.7.0 -Beta. 0, corrigido 1.7.0 -Beta. 10.

Classificação e evidência: identificadores de fraqueza CWE- 287, CWE- 345. O registro contém 6 suporte de referências nestes tipos: WEB, PACKAGE.