CVSS 9.0 以上
CVE-2026-121802
要約
@better-auth/expo の 1.7.16 より前のバージョンでは、呼び出し元が指定した state 値を、サーバーが発行したものかどうかを確認せずに署名しています。このため、認証なしで任意のアカウントのメールアドレスを変更するなど、アカウント乗っ取りにつながる結果が生じ得ます。説明文には、修正版へ更新した後にアプリケーションシークレットをローテーションする必要があると記載されています。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Better Auth Expo
このタグの新着を RSS で受け取る: Better Auth Expo(使い方)
判定の理由
- CVSS 9.0 以上