better-auth UI Yanıltma Açığı (CVE-2026-109346) - Yüksek Ciddiyet
Yapay zeka üretimi17.10.2026
- CVE
- CVE-2026-109346
- Ciddiyet
- Yüksek (CVSS 8.1)
- Firma / ürün
- - / -
Özet
better-auth 1.3.8-beta.3 ile 1.7.0-rc.3 öncesi sürümlerinde, deviceAuthorization eklentisinde UI yanılma hatası bulunuyor; saldırganlar, kullanıcıyı sahte bir cihaz kodu onaylatıp oturum tokenı elde edebiliyor.
Ayrıntılar
NVD kaydına göre, better-auth'in 1.3.8-beta.3 ile 1.7.0-rc.3 öncesi sürümlerinde deviceAuthorization eklentisinde bir UI yanıtı hatası mevcut. GET /device isteği, istemci kimliği (client_id) ve kapsam (scope) bilgilerini içermediği için saldırganlar, /device/code endpoint'ini kullanarak sahte bir cihaz isteği başlatabiliyor. Kullanıcı oturum açtığında bu kodu onaylatıp, ardından /device/token üzerinden geçerli bir oturum tokenı alabiliyor. Açığın ciddiyeti CVSS 8.1 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayımlandığında ilgili yama ya da yeni sürümü hemen uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlı tutun.