Better Auth 安全公告背后：两个高危漏洞均出自 Octane 团队报告

thedealdirector · x · 2026-11-04

Better Auth 预告将于 2026 年 11 月 3 日发布安全更新，随后披露细节：安全公司 Octane 团队是两个漏洞的发现者。其一是高危（CVSS 8.1）2FA 绕过——@better-auth/electron 插件的桌面登录可返回服务器内部 auth secret 并跳过双因素验证，攻击者拿到 auth secret 后可伪造签名会话；其二是中危（5.9）Stripe 账户劫持——@better-auth/stripe 插件将 Stripe customer ID 存在用户记录上且接受用户提交，攻击者可替换为他人 ID，进而打开对方账单门户、更改支付方式或取消订阅。修复版本为 1.7.16 / 1.8.0-beta.5。