Goksan

**Nome do Software Vulnerável e Versões Afetadas** Better Auth versões anteriores a 1.4.5 **Description** O Better Auth utiliza a biblioteca better-call, que depende do roteador rou3. Em versões afetadas do rou3, os caminhos são normalizados removendo segmentos vazios, fazendo com que caminhos como `/path`, `//path` e `///path` sejam resolvidos para a mesma rota. Esse comportamento permite que atacantes ignorem a configuração `disabledPaths` e os limites de taxa baseados em caminho ao incluir barras extras no caminho da URL. Este problema não afeta implantações onde o proxy ou a plataforma normaliza automaticamente as URLs colapsando barras múltiplas. **Recommendations** Atualize o Better Auth para a versão 1.4.5 ou posterior. Garanta que o proxy normalize as URLs colapsando barras múltiplas antes que elas cheguem ao manipulador.

**Nome do Software Vulnerável e Versões Afetadas** better-auth (npm) versões anteriores a 1.4.2 **Description** Existe um problema onde uma requisição externa pode configurar o `baseURL` quando este não está explicitamente definido (por exemplo, quando `BETTER AUTH URL` não está configurado). Isso ocorre porque o sistema confia implicitamente nos cabeçalhos `X-Forwarded-Host` e `X-Forwarded-Proto`. Um invasor que consiga enviar a primeira requisição ao servidor após a inicialização pode usar esses cabeçalhos para envenenar o caminho base do roteador. Isso resulta em uma negação de serviço onde todas as rotas subsequentes retornam um erro 404 para todos os usuários até que o servidor seja reiniciado. Este problema não é acessível em plataformas de hospedagem gerenciadas típicas ou quando o `baseURL` está explicitamente configurado. **Recommendations** Atualize o better-auth (npm) para a versão 1.4.2 ou posterior. Configure explicitamente o `baseURL` (por exemplo, via `BETTER AUTH URL`) para evitar que o sistema dependa de cabeçalhos de requisição para configuração.

**Nome do Software Vulnerável e Versões Afetadas** better-auth passkey versões anteriores a 1.4.0 **Description** Ocorre uma referência direta a objeto insegura no endpoint de exclusão de passkeys, permitindo que usuários autenticados excluam passkeys arbitrárias. Atacantes com sessões válidas podem enviar requisições manipuladas para o endpoint '/passkey/delete-passkey' enumerando IDs de passkeys. O problema decorre da variável `ctx.body.id` ser implicitamente confiada durante as consultas de exclusão. Aplicações configuradas com `useNumberId` são particularmente suscetíveis, pois podem utilizar IDs de auto-incremento, simplificando o processo de exclusão de todas as passkeys via enumeração. **Recommendations** Atualize o better-auth passkey para a versão 1.4.0 ou posterior.