Élevée CVSS 8.3
CVE-2026-67331
Analyse NVD en cours
better-auth SCIM versions from 1.5.0 before 1.7.0-beta.4 fail to bind non-organization SCIM providers to their creator by default, allowing authenticated users to manage other users' providers. Attackers can regenerate SCIM bearer tokens, invalidate legitimate tokens, and authenticate to SCIM API routes with the attacker-controlled token.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau, avec un compte utilisateur ordinaire et sans action de la victime.
- Impact
- Un attaquant peut lire des données sensibles, modifier ou détruire des données et dégrader le service.
- Faiblesse
- Changer un identifiant dans la requête donne accès aux données d’un autre utilisateur.
- Probabilité
- Le score EPSS reste bas : rien n’annonce une exploitation imminente, ce qui ne dispense pas de corriger.
À faireÀ intégrer au prochain cycle de correctifs.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.