Better Auth: Authentifizierungsumgehung durch als Magic-Link-Token missbrauchten OAuth-State

Zusammenfassung

Better Auth ab Version 1.4.0-beta.18 bis vor 1.7.7 akzeptiert einen OAuth-Anmeldestatus als Magic-Link-Token. Ein nicht authentifizierter Angreifer, der die E-Mail-Adresse eines Benutzers kennt, kann eine OAuth-Anmeldung für diese Adresse starten und mit dem zurückgegebenen Status als dieser Benutzer anmelden, ohne Zugriff auf das Postfach zu haben. Ist die Magic-Link-Registrierung aktiviert, kann der Angreifer zudem Konten erstellen, die fälschlicherweise als E-Mail-verifiziert markiert sind. Das Problem betrifft nur Installationen, bei denen Magic Link zusammen mit Social Login oder Generic OAuth Login verwendet wird. Einige Tracker führen dieses Problem als CVE-2026-114607; die Zuordnung ist noch zu bestätigen.

Betroffen

• Better Auth (npm-Paket better-auth) ab 1.4.0-beta.18 bis vor 1.7.7
• Relevant nur, wenn das Magic-Link-Plugin zusammen mit Social Login oder Generic OAuth Login aktiviert ist und der OAuth-Status in der Datenbank gespeichert wird (account.storeStateStrategy auf database gesetzt, der Standard bei konfigurierter Datenbank oder Secondary Storage)

Behoben in

• Auf better-auth 1.7.7 oder neuer aktualisieren
• Nachgelagerte Projekte verwenden neuere 1.7.x-Versionen (1.7.14 wird erwähnt); die aktuelle Version auf npm vor der Auswahl des Zielstands prüfen
• Better-Auth-Adapter, Plugins und Integrationen auf derselben Release-Version halten

Umgehung

• account.storeStateStrategy auf cookie setzen (unbestätigter Vorschlag eines Drittanbieters; vom Hersteller nicht bestätigt)
• Magic-Link-Option storeToken auf hashed setzen und globales verification.storeIdentifier nicht setzen oder auf plain belassen (unbestätigter Vorschlag eines Drittanbieters)
• Magic-Link-Anmeldung deaktivieren oder Social Login und Generic OAuth Login deaktivieren (vom Hersteller genannte Option)
• disableSignUp am Magic-Link-Plugin zu setzen reicht nicht aus

Ausnutzung

• Ausnutzung in freier Wildbahn: Unbekannt
• Öffentlicher Proof of Concept: keiner gefunden; CISA-KEV-Katalog nicht geprüft
• CISA-SSVC-Bewertung: keine Ausnutzung, automatisierbar ja, technische Auswirkung total

Unsere Empfehlung

• Installierte better-auth-Version in allen Lockfiles und Deployments prüfen und auf 1.7.7 oder neuer aktualisieren
• Nach dem Update bestehende Sitzungen ungültig machen und neue Magic Links anfordern; laufende OAuth- und Kontoverknüpfungs-Abläufe neu starten
• Konten prüfen, die im Zeitraum der Exposition über die Magic-Link-Registrierung erstellt wurden und unerwartet oder fälschlich als verifiziert markiert sind
• Eigene Regeln zur Überschreibung von Verifizierungs-Identifikatoren an die neuen Präfixe anpassen
• Bei verzögertem Patch eine der Workarounds anwenden oder Magic Link bzw. Social Login deaktivieren
• Öffentlich erreichbare Webanwendungen auf Basis von Better Auth als dringend behandeln; Standardsoftware ist voraussichtlich nicht betroffen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-965c-763c-88jm github.com
• VulnCheck Advisory: Better Auth Authentication Bypass via Magic Link www.vulncheck.com
• OSV: GHSA-965c-763c-88jm osv.dev
• GitLab Advisory: better-auth CVE-2026-114607 advisories.gitlab.com
• Forkast: Better Auth OAuth state reuse via Magic Link forkast.news

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:44.