JVNDB-2026-024693

BETTER-AUTH.のBetter Authにおける複数の脆弱性

Better AuthはTypeScript向けの認証および認可ライブラリです。バージョン1.6.11未満、ならびに1.6.14以降では、招待IDを招待されたメールボックス外で取得でき、かつrequireEmailVerificationOnInvitation: trueが有効になっていない場合、組織プラグインのacceptInvitation、rejectInvitation、getInvitation、およびlistUserInvitationsの受信者エンドポイントが、session.user.emailと招待IDを十分な検証済みメール所有権の証明なしで使用します。その結果、招待されたメールアドレスに対して未検証のセッションを持つユーザーが招待IDを取得した後に組織招待を承諾できてしまうという問題が発生します。この問題はバージョン1.6.11で元のデフォルト動作に対して修正されました。バージョン1.6.14では組み込みの不透明な招待IDとの互換性が復元され、影響を受ける構成には安全なオプションを必要とする仕様が残されています。

BETTER-AUTH.

• Better Auth 1.6.11 未満
• Better Auth 1.6.14 以上

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthorized invitation acceptance via unverified email match in organization plugin  Advisory  better-auth/better-auth  GitHub

1. 不適切な認証(CWE-287) [その他]
2. データの信頼性についての不十分な検証(CWE-345) [その他]
3. フィルタリング回避(CWE-441) [その他]
4. 認証の欠如(CWE-862) [その他]

1. CVE-2026-53514

1. National Vulnerability Database (NVD) : CVE-2026-53514
2. 関連文書 : fix(organization): default-on `requireEmailVerificationOnInvitation` & extend gate to get/list by gustavovalverde  Pull Request #9577  better-auth/better-auth  GitHub
3. 関連文書 : Release v1.6.11  better-auth/better-auth  GitHub
4. 関連文書 : fix(organization): default-on `requireEmailVerificationOnInvitation` …  better-auth/better-auth@23094a6  GitHub

• [2026年07月23日]
    掲載