Better Auth: OAuth-State als Magic-Link-Token akzeptiert, Kontoübernahme möglich
Zusammenfassung
Better Auth, eine Authentifizierungsbibliothek für TypeScript, akzeptiert unter einer bestimmten Kombination von Einstellungen einen OAuth-Sign-in-State-Wert als Magic-Link-Token. Ein nicht authentifizierter Angreifer, der die E-Mail-Adresse eines Benutzers kennt, kann einen OAuth-Sign-in starten und den zurückgegebenen State ohne Zugriff auf das Postfach über Magic Link einlösen. Dadurch kann eine Session für einen bestehenden Benutzer entstehen oder ein als E-Mail-verifiziert markiertes Konto, wenn die Registrierung aktiviert ist.
Betroffen
- better-auth ab 1.4.0-beta.18 bis vor 1.7.7
- Nur Deployments mit Magic-Link-Plugin, storeToken auf plain (oder hashed mit ebenfalls hashed verification.storeIdentifier), einem integrierten Social- oder Generic-OAuth-Provider und account.storeStateStrategy auf database
Behoben in
- Behoben in better-auth 1.7.7 (veröffentlicht am 30. September 2026)
- Alle @better-auth/*-Pakete zusammen mit better-auth aktualisieren
Umgehung
- Magic-Link-Sign-in oder Social- und Generic-OAuth-Sign-in deaktivieren, wie vom Hersteller angegeben
- Deaktivieren der Registrierung im Magic-Link-Plugin reicht nicht aus
- Nicht verifiziert: account.storeStateStrategy auf cookie setzen
Ausnutzung
- Im Rahmen der Recherche wurden kein öffentlicher Proof-of-Concept und keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Lockfiles auf better-auth-Versionen unter 1.7.7 prüfen und auf die neueste 1.7.x-Version aktualisieren.
- Auth-Konfiguration auf Magic Link, Social- oder Generic-OAuth-Provider, storeToken, storeIdentifier und storeStateStrategy prüfen.
- Nach dem Update ausstehende Magic Links und OAuth-Sign-ins ungültig machen, da sie nach der Änderung nicht mehr abgeschlossen werden können.
- Konten prüfen, die im Expositionszeitraum per Magic Link erstellt oder angemeldet wurden.
- Falls kein sofortiges Patchen möglich ist, die Workaround-Massnahme anwenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-965c-763c-88jm github.com
- Better Auth release v1.7.7 github.com
- Fix pull request #11494 github.com
- Fix commit ac54bfd github.com
- OSV GHSA-965c-763c-88jm osv.dev
- GitLab advisory CVE-2026-114607 advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:31.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.