Vulnérabilité dans better-auth (CVE-2025-71399)
Résumé
Vulnérabilité dans better-auth (CVE-2025-71399). Risque d'opérations non autorisées ou de divulgation. Exploitable via disabledPaths. Atténuation : mise à jour vers 1.4.5 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
An issue in the underlying router library rou3 can cause /path and //path to be treated as identical routes. If your environment does not normalize incoming URLs (e.g., by collapsing multiple slashes), this can allow bypasses of disabledPaths and path-based rate limits.
Details
Better Auth uses better-call, which internally relies on rou3 for routing. Affected versions of rou3 normalize paths by removing empty segments. As a result:
/sign-in/email//sign-in/email///sign-in/email
…all resolve to the same route.
Some production setups automatically collapse multiple slashes. This includes:
- Vercel with Nextjs (default)
- Cloudflare - when normalize to urls origin is enabled (https://developers.cloudflare.com/rules/normalization/settings/#normalize-urls-to-origin)
In these environments and other configurations where //path reach Better Auth as /path, the issue does not apply.
Fix
Updating rou3 to the latest version resolves the issue:
- better-call previously depended on
"rou3": "^0.5.1" - The fix was introduced after that version
(commit: https://github.com/h3js/rou3/commit/f60b43fa648399534507c9ac7db36d705b8874c3)
Better Auth recommends:
- Upgrading to Better Auth v1.4.5 or later, which includes the updated rou3.
- Ensuring the proxy normalizes URLs.
- If project maintainers cannot upgrade yet, they can protect their…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2025-71399 a été découverte dans better-auth.
Des attaquants peuvent cibler un point d'entrée spécifique comme disabledPaths à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 8.6/10.
Action : mettez à jour better-auth vers 1.4.5 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « better-auth CVE-2025-71399 » sur le site de l'éditeur.
CVE-2025-71399 (better-auth) — CWE-20 / CVSS v3 8.6
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : disabledPaths
Correctif : 1.4.5 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-20) affecte better-auth. Les attaquants atteignent le code vulnérable via disabledPaths sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de better-auth. Surface d'attaque : disabledPaths.
Gravité : Élevée (CVSS 8.6/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.4.5.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'better-auth' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
better-authを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade better-auth to 1.4.5ステージング環境で 1.4.5 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com