- Son 7 gün
- CWE-287
CVE-2026-114607
better-auth: OAuth durum değeri Magic Link olarak kullanılarak başka kullanıcı olarak oturum açılabilir
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, kimlik doğrulama sisteminde bir saldırganın kullanıcı hesaplarına izinsiz giriş yapmasına olanak tanıyabilir ve kullanıcı verilerinin güvenliğini doğrudan tehdit eder. Etkilenen sistemlerin hızla güncellenmesi, müşteri güveni ve yasal yükümlülükler açısından önem taşımaktadır.
ÖzetTürkçe
better-auth kimlik doğrulama kütüphanesinde, Magic Link özelliği etkinken ve OAuth durum bilgisi veritabanında saklanırken, OAuth giriş durum değerinin Magic Link belirteci olarak kabul edilmesine yol açan bir kusur bulunmaktadır. 1.4.0-beta.18 ile 1.7.7 arasındaki sürümler etkilenmektedir. Bu yapılandırmalar, Magic Link doğrulama kayıtları ile OAuth durumunun aynı saklanan tanımlayıcıya çözümlenmesine neden olabilir.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, bilinen bir e-posta adresi için OAuth girişi başlatıp dönen durum değerini posta kutusuna erişmeden Magic Link ile kullanabilir; böylece mevcut bir kullanıcının oturumunu ele geçirebilir veya kayıt açıksa e-postası doğrulanmış gibi işaretlenmiş bir hesap oluşturabilir.
Kaynaktaki açıklama (İngilizce)
Better Auth is an authentication and authorization library for TypeScript. From 1.4.0-beta.18 until 1.7.7, deployments that enable Magic Link with storeToken set to plain, or with storeToken set to hashed and the global verification.storeIdentifier setting also set to hashed, enable a built-in social or Generic OAuth provider, and use account.storeStateStrategy set to database can accept an OAuth sign-in state value as a Magic Link token. These settings can cause Magic Link verification records and OAuth state to resolve to the same stored identifier, allowing an unauthenticated attacker to start OAuth sign-in for a known email address and redeem the returned state through Magic Link without controlling the mailbox or completing the provider callback. The attacker can obtain a normal session for an existing user, or create an account incorrectly marked as email verified when sign-up is enabled. This issue is fixed in version 1.7.7.
Ne yapmalı?
- better-auth kütüphanesini 1.7.7 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Güncelleme sonrasında uygulamayı yeniden derleyip dağıtın ve Magic Link ile OAuth giriş akışlarını test edin. Genel öneri
- Güncelleme yapılamıyorsa, Magic Link özelliğini geçici olarak devre dışı bırakmayı değerlendirin. Genel öneri
Ek önlemler
- Son bir süredeki beklenmedik oturum açma kayıtlarını ve yeni hesap oluşturma olaylarını, özellikle e-posta doğrulaması işaretli hesapları, gözden geçirin. Genel öneri
- Kimlik doğrulama kütüphanelerinin sürümlerini düzenli olarak takip edip güvenlik bültenlerine abone olun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| better-auth | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.