Better Auth @better-auth/sso: Authentifizierungsumgehung über persönliche SSO-Provider

Zusammenfassung

Das SSO-Plugin der Bibliothek Better Auth erlaubt angemeldeten Benutzern, persönliche OIDC- oder SAML-Provider zu registrieren. Betroffene Versionen suchen verknüpfte Konten anhand des Issuers oder der Entity-ID des Providers und des behaupteten Subject- bzw. NameID-Werts, prüfen aber die providerId nicht. Ein angemeldeter Angreifer kann den Issuer oder die Entity-ID eines legitimen Providers kopieren und sich so als anderer Benutzer anmelden, wodurch eine Sitzung für das Konto des Opfers entsteht. Eine Gefährdung besteht nur, wenn eine Anwendung @better-auth/sso mit selbst registrierbaren Providern und ohne konfiguriertes resolveUser einsetzt.

Betroffen

• @better-auth/sso ab 1.7.0-rc.2 bis vor 1.7.3 (CVE-Eintrag: >= 1.7.0-rc.2, < 1.7.3)
• Die Herstellerwarnung nennt 1.7.0-rc.2 bis 1.7.0-rc.6 sowie 1.7.0 bis 1.7.2 als betroffen
• Standardkonfiguration: laut CVE-Eintrag nicht betroffen

Behoben in

• Auf @better-auth/sso 1.7.3 oder neuer aktualisieren
• Better Auth unterstützt nur die neueste Version; die aktuelle neueste Version wird empfohlen, da es spätere SSO-Korrekturen gibt
• Unbekannt: genaue aktuelle neueste Versionsnummer (nicht verifiziert)

Umgehung

• Laut Herstellerwarnung ist ein Update die empfohlene Behebung.
• Wenn kein Update möglich ist, die SSO-Anmeldung an der Anwendungsgrenze blockieren.
• Die Einstellung providersLimit: 0 verhindert nur neue persönliche Provider-Registrierungen; bestehende Provider bleiben nutzbar.
• Ein konfiguriertes resolveUser mit exakter Provider-Zuordnung blockiert den betroffenen Pfad.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Nicht in der CISA-KEV-Liste aufgeführt.
• Kein öffentlicher Proof of Concept gefunden und keine Berichte über Ausnutzung in freier Wildbahn.
• VulDB stuft die Ausnutzung als einfach ein; dies ist eine Einschätzung und kein Nachweis einer Ausnutzung.

Unsere Empfehlung

• Dependency-Manifeste und Lockfiles (npm, pnpm, yarn) auf @better-auth/sso prüfen, auch bei vom Lieferanten bereitgestellten Anwendungen.
• Mindestens auf 1.7.3 aktualisieren und die aktuelle neueste Version bevorzugen.
• Bis zur Behebung die selbst registrierbare SSO-Provider-Registrierung deaktivieren, sofern die Anwendung dies zulässt.
• Bestehende SSO-Provider-Einträge auf unerwartete persönliche Provider prüfen und Anmeldungen auf kontoübergreifende Aktivitäten kontrollieren.
• Das gesamte Paket @better-auth/sso als Patch-Priorität behandeln, da 2026 mehrere SSO-Schwachstellen veröffentlicht wurden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mx9r-x6ww-qjw9 github.com
• VulnCheck advisory: Better Auth @better-auth/sso before 1.7.3 www.vulncheck.com
• GitHub Security Advisory GHSA-prpr-5gj3-qqhg (related SSO flaws) github.com
• OpenCVE: CVE-2026-110863 app.opencve.io
• Better Auth security overview github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:07.