CVE-2026-41427
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Better Auth OAuth 2.1 Provider: Unprivileged users can register OAuth clients
Better Auth is an authentication and authorization library for TypeScript. Prior to 1.6.5, the clientPrivileges option documents a create action, but the OAuth client creation endpoints did not invoke the hook before persisting new clients. Deployments that configured clientPrivileges to restrict client registration were not actually restricted — any authenticated user could reach the create endpoints and register an OAuth client with attacker-chosen redirect URIs and metadata. This vulnerability is fixed in 1.6.5.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
better-auth
- Fornecedor
- better-auth
- Produto
- better-auth
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| >= 1.4.8-beta.7, < 1.6.5 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 1.7.0-beta.0, <= 1.7.0-beta.1 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
oauth-provider
- Fornecedor
- better-auth
- Produto
- oauth-provider
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| >= 1.4.8-beta.7, < 1.6.5 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 1.7.0-beta.0, <= 1.7.0-beta.1 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |