Iniciar sesión
Deutsch English Español Polski
Media

Better Auth URL parameter HTML Injection (Reflected Cross-Site scripting)

  • Publicada: 05.02.2025
  • Actualizado: 11.10.2026 10:22

Summary

The better-auth /api/auth/error page was vulnerable to HTML injection, resulting in a reflected cross-site scripting (XSS) vulnerability.

Details

The value of error URL parameter was reflected as HTML on the error page: https://github.com/better-auth/better-auth/blob/05ada0b79dbcac93cc04ceb79b23ca598d07830c/packages/better-auth/src/api/routes/error.ts#L81

Impact

An attacker who exploited this vulnerability by coercing a user to visit a specially-crafted URL could execute arbitrary JavaScript in the context of the user's browser.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm better-auth >= 0.0.2, < 1.1.16 1.1.16

Referencias

Puntuación CVSS -
Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Debilidad (CWE)
CWE-79
Plataforma
npm
Paquete
better-auth
Publicada
05.02.2025
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-9x4v-xfq5-m8x5 - CC BY 4.0

Historial de vulnerabilidades: better-auth

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (22) en el archivo
Entradas en total
22
Primera → última
12.2024 07.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 2
  • Alta 14
  • Media 3
  • Baja 3

Divulgaciones por año

Gravedad:
  1. Better Auth: Account takeover via pre-account hijacking on magic-link and email-OTP sign-in
    Alta · 8.3 CVE-2026-67327 >= 1.1.3, < 1.6.22, >= 1.7.0-beta.0, < 1.7.0-beta.10 1.6.22, 1.7.0-beta.10
  2. @better-auth/oauth-provider's OAuth authorization-code grant allows concurrent redemption when two token requests race the find-then-delete primitive
    Alta · 8.1 CVE-2026-53518 < 1.6.11 1.6.11
  3. Better Auth: OAuth refresh-token rotation forks the token family on concurrent redemption
    Alta · 8.1 CVE-2026-53517 >= 1.4.8-beta.7, < 1.6.0 1.6.0
  4. Better Auth has insecure cryptographic defaults in oidcProvider: alg=none advertised and plain PKCE accepted by default
    Alta · 8.7 CVE-2026-67336 < 1.6.11 1.6.11
  5. Better Auth has stored XSS in the auth-server origin via javascript: redirect_uri in oidc-provider and mcp
    Alta · 7.7 CVE-2026-67333 < 1.6.13, >= 1.7.0-beta.0, < 1.7.0-beta.4 1.6.13, 1.7.0-beta.4
  6. Better Auth has an account takeover issue via OAuth auto-link to unverified pre-registered email
    Alta · 8.3 CVE-2026-53516 < 1.6.11 1.6.11
  7. Better Auth vulnerable to unauthorized invitation acceptance via unverified email match in organization plugin
    Alta · 7.7 CVE-2026-53514 < 1.6.11 1.6.11
  8. Better Auth: OAuth refresh-token replay via missing client authentication on oidc-provider and mcp plugins
    Crítica · 9.1 CVE-2026-53512 < 1.6.11 1.6.11
  9. Better Auth: Device authorization approve and deny accept any authenticated session while the user code is pending
    Alta · 7.6 CVE-2026-45337 >= 1.6.0, < 1.6.11 1.6.11
  10. Better Auth: Rate limiter keys IPv6 addresses individually and is bypassable via prefix rotation
    Alta · 7.3 CVE-2026-45364 < 1.4.17, >= 1.5.0-beta.1, < 1.5.0-beta.9 1.4.17, 1.5.0-beta.9
  11. Better Auth Has Two-Factor Authentication Bypass via Premature Session Caching (session.cookieCache)
    Crítica CVE-2026-67337 < 1.4.9 1.4.9
  12. Better Auth's rou3 Dependency has Double-Slash Path Normalization which can Bypass disabledPaths Config and Rate Limits
    Alta · 8.6 CVE-2025-71399 < 1.4.5 1.4.5
  13. Better Auth affected by external request basePath modification DoS
    Alta CVE-2025-71401 < 1.4.2 1.4.2
  14. Better Auth: Unauthenticated API key creation through api-key plugin
    Alta · 8.6 CVE-2025-61928 < 1.3.26 1.3.26
  15. Better Auth allows bypassing the trustedOrigins Protection which leads to ATO
    Alta · 7.1 CVE-2025-71403 < 1.1.21 1.1.21
  16. Better Auth URL parameter HTML Injection (Reflected Cross-Site scripting) esta entrada
    Media CVE-2025-71404 >= 0.0.2, < 1.1.16 1.1.16
  17. Better Auth has an Open Redirect Vulnerability in Verify Email Endpoint
    Alta CVE-2024-56734 < 1.1.6 1.1.6

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.