JVNDB-2026-024690

BETTER-AUTH.のBetter Auth OAuth Provider等の複数製品における複数の脆弱性

Better AuthはTypeScript向けの認証および認可ライブラリです。バージョン1.6.0から1.6.11までの間、@better-auth/oauth-providerのauthorization_codeグラント用のPOST /oauth2/tokenエンドポイントは、単一使用の認可コードを非原子的に検索してから削除するシーケンスで消費していました。そのため、2つの同時リクエストが読み取りステップを通過し、それぞれ独立したアクセストークン、リフレッシュトークン、およびIDトークンを発行できる状態になっていました。また、oidc-providerおよびmcpプラグインのレガシーな/oauth2/tokenおよび/mcp/tokenパスも同じ根本的な問題を共有していました。この問題はバージョン1.6.11で修正されています。

BETTER-AUTH.

• Better Auth 1.6.0 以上 1.6.11 未満
• Better Auth OAuth Provider 1.6.0 以上 1.6.11 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @better-auth/oauth-provider: OAuth authorization-code grant allows concurrent redemption when two token requests race the find-then-delete primitive  Advisory  better-auth/better-auth  GitHub

1. 競合状態(CWE-362) [その他]
2. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [その他]

1. CVE-2026-53518

1. National Vulnerability Database (NVD) : CVE-2026-53518
2. 関連文書 : Release v1.6.11  better-auth/better-auth  GitHub
3. 関連文書 : Merge commit from fork  better-auth/better-auth@b4bc65a  GitHub

• [2026年07月23日]
    掲載