PT-2025-62894 · Unknown · Better Auth

Goksan · CVE-2025-71400 · Publicado 2025-11-25 · Atualizado 2026-08-02

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas better-auth passkey versões anteriores a 1.4.0

Description Ocorre uma referência direta a objeto insegura no endpoint de exclusão de passkeys, permitindo que usuários autenticados excluam passkeys arbitrárias. Atacantes com sessões válidas podem enviar requisições manipuladas para o endpoint '/passkey/delete-passkey' enumerando IDs de passkeys. O problema decorre da variável ctx.body.id ser implicitamente confiada durante as consultas de exclusão. Aplicações configuradas com useNumberId são particularmente suscetíveis, pois podem utilizar IDs de auto-incremento, simplificando o processo de exclusão de todas as passkeys via enumeração.

Recommendations Atualize o better-auth passkey para a versão 1.4.0 ou posterior.

Exploit

Correção

Improper Access Control

IDOR

Enumeração de Fraquezas

CWE-284

CWE-639

Identificadores relacionados

CVE-2025-71400

GHSA-4VCF-Q4XF-F48M

Produtos afetados

Better Auth

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/71xxx/CVE-2025-71400.json · Exploit
• https://github.com/better-auth/better-auth/commit/06d68239e · Nota
• https://github.com/better-auth/better-auth/security/advisories/GHSA-4vcf-q4xf-f48m · Aviso do Fabricante
• https://github.com/better-auth/better-auth · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-71400 · Nota de Segurança
• https://t.me/CVEtracker/62070 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-4vcf-q4xf-f48m · Aviso do Fabricante
• https://vulncheck.com/advisories/better-auth-passkey-before-idor-via-delete-passkey · Nota
• https://osv.dev/vulnerability/CVE-2025-71400 · Aviso do Fabricante