CVE-2026-45364— Better Auth 安全漏洞
Affected Version Matrix 2
| ベンダー | プロダクト | Version Range | ステータス |
|---|---|---|---|
| better-auth | better-auth | < 1.4.17 | affected |
>= 1.5.0-beta.1, < 1.5.0-beta.9 | affected |
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-45364の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Better Auth: Rate limiter keys IPv6 addresses individually and is bypassable via prefix rotation
ソース: CVE Program / CVE List V5
脆弱性説明
Better Auth is an authentication and authorization library for TypeScript. Prior to 1.4.17 and 1.5.0-beta.9, Better Auth's HTTP rate limiter keyed each request by the exact textual IP address it received in x-forwarded-for (or the configured IP-bearing header). IPv6 clients controlling a typical /64 allocation could rotate through 2^64 distinct source addresses without exhausting the per-address counter, defeating rate limiting on /sign-in/email, /sign-up/email, /forget-password, and every other path the limiter protects. The same bug allowed a single client to vary the textual encoding of one IPv6 address (uppercase, compression, IPv4-mapped, hex-encoded IPv4-in-IPv6) and produce multiple distinct keys. This vulnerability is fixed in 1.4.17 and 1.5.0-beta.9.
ソース: CVE Program / CVE List V5
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
ソース: CVE Program / CVE List V5
脆弱性タイプ
过多认证尝试的限制不恰当
ソース: CVE Program / CVE List V5
脆弱性タイトル
Better Auth 安全漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Better Auth是Better Auth开源的一个 TypeScript 最全面的身份验证框架。 Better Auth 1.4.17和1.5.0-beta.9之前版本存在安全漏洞，该漏洞源于HTTP速率限制器按x-forwarded-for中的确切文本IP地址键控每个请求，IPv6客户端可轮换2^64个不同源地址或改变IPv6地址的文本编码来绕过速率限制。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| better-auth | better-auth | < 1.4.17 | - |
II. CVE-2026-45364の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
Qwen3.6-35B-A3B · 5433 文字数
Pro+限定の内容：
脆弱性再現の録画（実際のサンドボックス構築 + トリガー、限定）
脆弱性の原理を深く分析
トリガー条件と影響範囲
完全な実行可能POCコード
攻撃チェーンと緩和策の提案
POCパッケージのダウンロード
月間100件以上のAI生成枠
III. CVE-2026-45364のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-45364 补丁与修复 (3)
CVE-2026-45364 厂商安全公告 (1)
IV. 関連脆弱性
同じ製品: better-auth
- CVE-2026-67327
better-auth before 1.6.22 Account Takeover via Magic-Link Em - CVE-2026-67334
better-auth Stale Sessions Persist After User Deletion - CVE-2025-71404
better-auth before 1.1.16 Reflected XSS via error parameter - CVE-2026-67333
better-auth before 1.6.13 Stored XSS via javascript redirect - CVE-2026-67336
better-auth before 1.6.11 Insecure Cryptographic Defaults vi
同じベンダー: better-auth
- CVE-2026-67337
better-auth before 1.4.9 Two-Factor Authentication Bypass vi - CVE-2026-67327
better-auth before 1.6.22 Account Takeover via Magic-Link Em - CVE-2026-67328
@better-auth/sso before 1.6.21 Account Takeover via SSO - CVE-2025-71404
better-auth before 1.1.16 Reflected XSS via error parameter - CVE-2026-67329
@better-auth/stripe before 1.6.21 Authorization Bypass via O
同じ弱点: CWE-307
- CVE-2026-15144
@fastify/rate-limit vulnerable to rate-limit bypass via IPv6 - CVE-2026-16347
Improper restriction of excessive authentication attempts in - CVE-2026-65894
Improper Authentication Vulnerability in CP PLUS EZ-P21 IP C - CVE-2026-8285
OTP Bypass in Universal Sotware's FlexCity - CVE-2026-32825
dataCycle No Brute-Force Protection On Web And API Login End
V. CVE-2026-45364へのコメント
まだコメントはありません