- Yama var
- Son 7 gün
- CWE-346
CVE-2026-121802
better-auth/expo: Doğrulanmamış state değeri nedeniyle hesap ele geçirme riski
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, kullanıcı hesaplarının kimlik doğrulaması olmadan ele geçirilmesine yol açabilecek kritik düzeyde bir risktir. Etkilenen uygulamalarda kullanıcı verileri ve hesap güvenliği doğrudan tehlikededir. Güncelleme yapılmadan önce bu sistemlerin acilen yamalanması önerilir.
ÖzetTürkçe
@better-auth/expo paketinin 1.7.16 öncesi sürümlerinde, sunucu tarafından üretilmemiş bir state değeri imzalanmadan kabul edilmektedir. Bu nedenle saldırgan, kimlik doğrulaması yapmadan belirli hesap ele geçirme senaryolarını gerçekleştirebilir. Etkilenen, bu paketi kullanan Expo tabanlı uygulamalar ve kimlik doğrulama altyapısını bu paketle kuran sistemlerdir.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan herhangi bir hesabın e-posta adresini değiştirebilir ve bu yolla hesabın kontrolünü ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
@better-auth/expo before 1.7.16 allows certain account-takeover outcomes (e.g., unauthenticated changes of any account's email address), because it signs a caller-supplied state value without checking whether that value had been issued by the server. NOTE: the application secret must be rotated after updating to a fixed version.
Ne yapmalı?
- @better-auth/expo paketini 1.7.16 veya daha yeni bir sürüme güncelleyin. Üretici
- Sürüm güncellemesinden sonra uygulama gizli anahtarını (application secret) mutlaka değiştirin. Üretici
- Güncelleme sonrası hesap e-posta değişikliklerini ve oturum etkinliklerini inceleyerek olası yetkisiz değişiklikleri kontrol edin. Genel öneri
Ek önlemler
- Kimlik doğrulama kütüphanelerini düzenli olarak güncel tutun ve güvenlik duyurularını takip edin. Genel öneri
- Hesap e-posta adresi değişikliklerini izleyin ve kullanıcılara bildirim gönderilmesini sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| better-auth | < 1.7.16 | 1.7.16 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.