CVE-2026-67330: Kritisk fejl i better-auth SCIM-plugin
Fejl i @better-auth/scim gør det muligt at overtage og slette brugerkonti. Opdatér til 1.6.22 eller 1.7.0-beta.10.
Hvad er det?
CVE-2026-67330 er en fejl i @better-auth/scim, et tilføjelsesmodul til autentificeringsbiblioteket better-auth. SCIM er en standard, der bruges til automatisk oprettelse og nedlukning af brugerkonti mellem systemer, for eksempel når en virksomheds HR-system eller identitetsudbyder skal styre login-konti. Fejlen betyder, at et SCIM-token, som en logget ind bruger opretter, kan ende med samme id som en eksisterende SSO-, SAML-, OIDC- eller social login-konto. Systemet forveksler herefter de to, så SCIM-funktioner kan læse, ændre og slette en helt anden brugers konto og sessioner.
Hvem rammer det?
Det rammer virksomheder, der bruger better-auth med SCIM-tilføjelsen til at styre brugerprovisionering, typisk i egenudviklede webapplikationer eller SaaS-produkter. Berørte versioner er 1.4.0-beta.27 til og med 1.6.21, samt 1.7.0-beta.0 til og med 1.7.0-beta.9. Er jeres udviklere ikke bekendt med better-auth eller SCIM-modulet, er I formentlig ikke berørt.
Hvad kan ske?
En almindelig, logget ind bruger kan udnytte fejlen til at overtage andre brugeres konti, ændre deres e-mail og profiloplysninger uden tjek af, om oplysningerne allerede er i brug, samt slette konti og logge dem af. I praksis kan det betyde, at en angriber overtager en administratorkonto eller lukker adgangen for alle medarbejdere, der er koblet til den pågældende provider.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, som er kritisk. Angrebet kræver kun lav rettighed, altså en almindelig brugerkonto, ingen adgangskode til en administrator og ingen handling fra offeret. Det kan udføres over netværket og påvirker fortrolighed, integritet og tilgængelighed i højeste grad, fordi angriberen kan læse, ændre og slette andre brugeres data og sessioner. Der er ikke oplyst om aktiv udnyttelse eller offentlig kode til at udnytte fejlen på offentliggørelsesdatoen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér @better-auth/scim til version 1.6.22, eller til 1.7.0-beta.10 (også udgivet som 1.7.0-rc.0), hvis I kører 1.7-beta-sporet.
- Gennemgå jeres brugerdatabase for konti med uventede ændringer i e-mail, profil eller provider-id, som kan indikere tidligere misbrug.
- Tjek log for SCIM-token-oprettelser og sammenhold provider-id’er med jeres eksisterende SSO-, SAML- og OIDC-opsætninger for at se, om der findes kollisioner.
- Gennemtving log-ud af alle sessioner for konti, der er koblet til SCIM-provisionering, efter opdateringen er gennemført.
- Er I i tvivl om, hvorvidt jeres opsætning har været udsat, eller mangler I ressourcer til at gennemgå logs selv, bør I hente ekstern hjælp til en sikkerhedsgennemgang.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer @better-auth/scim med det samme, hvis I bruger modulet, fordi angrebet kun kræver en almindelig brugerkonto og ingen brugerinteraktion fra offeret. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da konsekvensen kan være fuld kontoovertagelse. I kan først slappe af, når I har bekræftet, at alle instanser kører version 1.6.22 eller nyere, eller 1.7.0-beta.10 eller nyere.
Tidslinje
Konkrete eksempler
SaaS-leverandør med SCIM-integration til kunders HR-system
En dansk SaaS-virksomhed bruger better-auth med SCIM-tilføjelsen, så kundernes HR-systemer automatisk kan oprette og lukke medarbejderkonti. En medarbejder hos en kunde opretter, uden ond hensigt eller ved et forsøg på misbrug, et SCIM-token, der tilfældigt kolliderer med en eksisterende SSO-konto tilhørende en administrator. Herefter kan medarbejderens konto læse og ændre administratorens profil og slette dennes session, hvilket giver uautoriseret adgang til hele kundens miljø.
Ofte stillede spørgsmål
Bruger vi overhovedet @better-auth/scim?
Tjek jeres package.json eller lockfile for afhængigheden @better-auth/scim. Bruger jeres udviklingsteam better-auth til login, men uden SCIM-tilføjelsen, er I ikke berørt af denne konkrete fejl.
Kan vi vente til efter weekenden med at opdatere?
Det frarådes. Fejlen kræver kun en almindelig, logget ind brugerkonto og kan udnyttes med det samme uden godkendelse fra andre. Opdateringen er allerede tilgængelig og er en simpel versionsopgradering.
Hvordan finder vi ud af, om vi allerede er ramt?
Gennemgå SCIM-tokens og deres provider-id i jeres logs, og sammenhold dem med eksisterende SSO-, SAML- og OIDC-konfigurationer. Kollisioner mellem disse id’er er tegn på, at fejlen kan være udnyttet.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Er der tegn på, at persondata er blevet ændret, læst eller slettet uden hjemmel, skal I vurdere jeres oplysningspligt efter databeskyttelsesforordningen og eventuelt anmelde til Datatilsynet inden for 72 timer efter, I bliver opmærksomme på hændelsen.
Påvirker opdateringen eksisterende brugere og integrationer?
Opdateringen retter selve godkendelseslogikken og bør ikke ændre normal funktionalitet. Vi anbefaler alligevel at teste opdateringen i et testmiljø, inden den lægges i drift, hvis jeres SCIM-integration er forretningskritisk.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
@better-auth/scim (a better-auth plugin) versions >= 1.4.0-beta.27 through = 1.7.0-beta.0 through <= 1.7.0-beta.9 contain an authorization bypass. SCIM token issuance did not reject provider IDs already used by existing SSO, SAML, OIDC, generic OAuth, or social account providers, and the same logical provider ID was used for both SCIM provider configuration and account ownership. An authenticated user could mint a SCIM token whose provider ID collided with an existing provider namespace, causing SCIM user routes to resolve account rows the token never provisioned. This allowed listing, reading, updating (including rewriting global profile/email fields without uniqueness checks), and deleting global user accounts and sessions, resulting in account takeover and unauthorized deprovisioning. Fixed in 1.6.22 and 1.7.0-beta.10 (1.7.0-rc.0).
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.