Better Authに認証不要のアカウント乗っ取り脆弱性。Magic LinkとOAuthの組み合わせに注意

Better AuthのCVE-2026-114607（CVSS 9.1）。特定のMagic Link・OAuth・状態保存設定の併用時に、メールアドレスを知る攻撃者が他人のセッションを取得する恐れ。1.7.7へ更新。

30秒でわかる / THE SIGNAL

Magic LinkとOAuth状態の衝突

CVE-2026-114607はOAuth認証用のstate値をMagic Linkトークンとして受け付ける不備。攻撃者が被害者のメールアドレスを知っているだけで、メール受信箱へアクセスせずセッションを取得できる可能性がある。CVSS v3.1 9.1（CRITICAL）。

影響する構成とバージョン

Better Auth 1.4.0-beta.18以上1.7.7未満。Magic LinkとソーシャルログインまたはGeneric OAuthを併用し、Magic Linkのトークン保存方法とOAuth stateのデータベース保存が勧告記載の条件に一致する構成が対象。すべての利用環境が影響するわけではない。一次情報：https://github.com/better-auth/better-auth/security/advisories/GHSA-965c-763c-88jm

修正版と緩和策

Better Auth 1.7.7が公開されている。関連アダプターやプラグインも同時更新し、共有ストレージを使うサーバーは同時に切り替える。既存Magic Linkを再発行し、進行中のOAuth/SAMLフローを再開始する。更新までの緩和策はOAuth stateのcookie保存（OAuth Proxyとのsecret設定に注意）、Magic Link保存設定の変更、または該当ログイン方式の一時停止。詳細は公式勧告を参照。修正版：https://github.com/better-auth/better-auth/releases/tag/v1.7.7

悪用状況と編集部の視点

実環境での悪用確認は一次情報から確認できない。開発元は9月30日に勧告を公開し、GitHub Advisory Databaseは10月27日に更新した。新規発見の速報ではなく、認証基盤の設定点検を促す注意喚起。