Better Auth URL parameter HTML Injection (Reflected Cross-Site scripting)

中 5.1CVE-2025-71404 · GHSA-9x4v-xfq5-m8x5 · 01/08/2026 公開 · 06/10/2026 更新

要点

CVE-2025-71404 は better-auth に影響する深刻度「中」 (CVSS 5.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.72%（全脆弱性の 53.9% より高い）。
対処：1.1.16 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
better-auth npm	`≥ 0.0.2, < 1.1.16`	`1.1.16`

概要

Summary

The better-auth /api/auth/error page was vulnerable to HTML injection, resulting in a reflected cross-site scripting (XSS) vulnerability.

Details

The value of error URL parameter was reflected as HTML on the error page: https://github.com/better-auth/better-auth/blob/05ada0b79dbcac93cc04ceb79b23ca598d07830c/packages/better-auth/src/api/routes/error.ts#L81

Impact

An attacker who exploited this vulnerability by coercing a user to visit a specially-crafted URL could execute arbitrary JavaScript in the context of the user's browser.

NVD の説明

better-auth versions after v0.0.2 and before 1.1.16 contain a reflected cross-site scripting (XSS) vulnerability on the /api/auth/error page, where the value of the 'error' URL parameter is reflected as HTML without proper neutralization. An attacker who coerces a user into visiting a specially-crafted URL can execute arbitrary JavaScript in the context of the user's browser. The issue is fixed in version 1.1.16.

参考情報

better-auth のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

better-auth

npm

≥ 0.0.2, < 1.1.16

1.1.16

概要