JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024818 Better AuthはTypeScript向けの認証および認可のライブラリです。バージョン1.2.10から1.6.11までの間、@better-auth/ssoプラグインのPOST /sso/registerエンドポイントにおいて、registerSSOProviderがメンバーシップの存在のみを確認し、オーナーまたは管理者の役割を要求しなかったため、組織の任意のメンバーが新しいSSOプロバイダーをその組織に紐付けることが可能でした。これにより、攻撃者は自身が制御するOIDCまたはSAMLプロバイダーを利用し、/sso/callback/{providerId}経由で組織のプロビジョニングを行うことができました。この問題はバージョン1.6.11で修正されています。 cpe:/a:better-auth:better-auth%2Fsso cpe:/a:better-auth:better_auth https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024818.html Common Vulnerabilities and Exposures (CVE) CVE-2026-53515 https://www.cve.org/CVERecord?id=CVE-2026-53515 National Vulnerability Database (NVD) CVE-2026-53515 https://nvd.nist.gov/vuln/detail/CVE-2026-53515 GitHub @better-auth/sso: SSO provider may allow registration for any org member without a checking their role Advisory better-auth/better-auth GitHub https://github.com/better-auth/better-auth/security/advisories/GHSA-gv74-j8m3-fg5f JVNDB CWE-285 https://cwe.mitre.org/data/definitions/285.html JVNDB CWE-863 https://cwe.mitre.org/data/definitions/863.html JVNDB CWE-269 https://cwe.mitre.org/data/definitions/269.html 関連文書 fix(sso): require org admin role to register SSO providers by stewartjarod Pull Request #9220 better-auth/better-auth GitHub https://github.com/better-auth/better-auth/pull/9220 関連文書 Release v1.6.11 better-auth/better-auth GitHub https://github.com/better-auth/better-auth/releases/tag/v1.6.11 関連文書 fix(sso): require org admin role to register SSO providers (#9220) better-auth/better-auth@86765f1 GitHub https://github.com/better-auth/better-auth/commit/86765f1597378f5c3deed1b80ca91faac0a6bf00 2026-07-23T10:42:26+09:00 2026-07-23T10:42:26+09:00