CVE-2026-53518
Publiée le 2026-07-15 · Dernière modification le 2026-07-21
Les applications TypeScript utilisant la bibliothèque Better Auth (versions 1.6.0 à 1.6.11) sont affectées par une condition de concurrence (race condition) dans le processus d'échange de jetons OAuth. Un attaquant peut potentiellement dupliquer un code d'autorisation à usage unique pour générer plusieurs ensembles de jetons d'accès et de rafraîchissement, lui permettant ainsi de maintenir un accès non autorisé au compte d'un utilisateur. L'exploitation de cette faille nécessite un accès réseau et qu'une victime interagisse avec un lien ou une application malveillants, bien qu'aucune authentification préalable ne soit requise pour l'attaquant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Better Auth is an authentication and authorization library for TypeScript. From 1.6.0 until 1.6.11, the @better-auth/oauth-provider POST /oauth2/token endpoint for the authorization_code grant redeems a single-use authorization code through a non-atomic find-then-delete sequence, allowing two concurrent requests to pass the read step and mint independent access tokens, refresh tokens, and ID tokens; legacy /oauth2/token and /mcp/token paths in oidc-provider and mcp plugins share the same primitive. This issue is fixed in version 1.6.11.