FICHE CVE

CVE-2026-67334

Publiée le 2026-08-01 · Dernière modification le 2026-10-08

🇫🇷 EN BREF

Les applications utilisant `better-auth` (versions antérieures à 1.6.11) avec des configurations de mise en cache spécifiques sont concernées. Un attaquant possédant un jeton de session pour un utilisateur supprimé peut réutiliser ce jeton pour maintenir son accès au système pendant une période allant jusqu'à sept jours. Cette exploitation nécessite un accès réseau et un jeton valide provenant d'un compte existant précédemment, mais ne requiert aucune authentification supplémentaire ni interaction de l'utilisateur.

CVSS 4.05.1 MOYENNE

Type de faiblesse

CWE-459

Publiée2026-08-01

Dernière modification2026-10-08

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

better-auth versions before 1.6.11 fail to delete cached sessions when removing users via admin, anonymous, or SCIM endpoints when secondaryStorage is configured and storeSessionInDatabase is false. Attackers can reuse deleted user session tokens to maintain authentication for up to seven days after account deletion.