JVNDB-2026-024694

BETTER-AUTH.のBetter Authにおける複数の脆弱性

Better AuthはTypeScript向けの認証および認可ライブラリです。バージョン1.6.11より前のレガシーなoidcProviderおよびmcpプラグインは、refresh_tokenグラントでOAuthトークンエンドポイントを公開しており、bound refreshToken行の所有権とclient_idの一致のみを認証し、confidentialクライアントのclient_secretの検証を行わないため、有効なrefresh_tokenを持つ攻撃者が/api/auth/oauth2/tokenまたは/api/auth/mcp/tokenを通じてアクセス・トークンやローテーションされたリフレッシュ・トークンを不正に発行できる可能性があります。@better-auth/oauth-providerパッケージは影響を受けません。この問題はバージョン1.6.11で修正されています。

BETTER-AUTH.

• Better Auth 1.6.11 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : OAuth refresh-token replay via missing client authentication on oidc-provider and mcp plugins  Advisory  better-auth/better-auth  GitHub

1. 不適切な認証(CWE-287) [その他]
2. 重要な機能に対する認証の欠如(CWE-306) [その他]
3. データの信頼性についての不十分な検証(CWE-345) [その他]
4. 不正な認証(CWE-863) [その他]

1. CVE-2026-53512

1. National Vulnerability Database (NVD) : CVE-2026-53512
2. 関連文書 : fix(oidc-provider, mcp): authenticate confidential clients on refresh_token grant by gustavovalverde  Pull Request #9576  better-auth/better-auth  GitHub
3. 関連文書 : Release v1.6.11  better-auth/better-auth  GitHub
4. 関連文書 : fix(oidc-provider, mcp): authenticate confidential clients on refresh…  better-auth/better-auth@1f2ff42  GitHub

• [2026年07月23日]
    掲載