CVE-2026-67337— better-auth 1.4.9前 双因素认证绕过漏洞
可能的 ATT&CK 技术 1AI
T1078 · Valid Accounts影响版本矩阵 2
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| better-auth | better-auth | < 1.4.9 | affected |
1.4.9 | unaffected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-67337 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
better-auth before 1.4.9 Two-Factor Authentication Bypass via session.cookieCache
来源: CVE Program / CVE List V5
Vulnerability Description
better-auth versions before 1.4.9 contain a two-factor authentication bypass vulnerability when session.cookieCache is enabled. Attackers with valid primary credentials can access authenticated routes without completing second-factor verification by exploiting premature session caching.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
使用候选路径或通道进行的认证绕过
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| better-auth | better-auth | 0 ~ 1.4.9 | - |
二、漏洞 CVE-2026-67337 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-67337 的情报信息
请登录查看更多情报信息。
CVE-2026-67337 厂商安全公告 (2)
同批安全公告 · better-auth · 2026-08-01 · 共 14 条
| CVE-2026-67330 | 9.9 CRITICAL | better-auth 1.4.0-beta.27 至 1.6.21 账户劫持漏洞 |
| CVE-2026-67336 | 8.7 HIGH | better-auth 1.6.11 前 oidcProvider 不安全加密默认配置漏洞 |
| CVE-2026-67327 | 8.3 HIGH | better-auth 1.6.22 以下账号接管漏洞 |
| CVE-2026-67331 | 8.3 HIGH | better-auth 1.5.0至1.7.0-beta.4 授权绕过漏洞 |
| CVE-2026-67328 | 8.1 HIGH | @better-auth/sso < 1.6.21 账户接管漏洞 |
| CVE-2026-67333 | 7.2 HIGH | better-auth 1.6.13之前存储型XSS漏洞 |
| CVE-2026-67329 | 7.1 HIGH | @better-auth/stripe <1.6.21 组织订阅授权绕过漏洞 |
| CVE-2025-71403 | 7.1 HIGH | better-auth <1.1.20 通过trustedOrigins绕过导致开放重定向漏洞 |
| CVE-2026-67332 | 6.4 MEDIUM | better-auth/oauth-provider <1.7.0-beta.4 授权绕过漏洞 |
| CVE-2026-67335 | 5.3 MEDIUM | better-auth 1.6.2之前 OAuth状态验证绕过漏洞 |
| CVE-2025-71404 | 5.1 MEDIUM | better-auth <1.1.16 通过错误参数的反射型XSS漏洞 |
| CVE-2026-67334 | 3.8 LOW | better-auth 用户删除后会话持久化漏洞 |
| CVE-2025-71402 | 2.0 LOW | better-auth <1.4.0 伪造Cookie会话撤销漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-67337
暂无评论