CVE-2026-67330: Bypass de autorização no plugin SCIM do better-auth via colisão de Provider ID
O plugin @better-auth/scim contém um bypass de autorização: a emissão de tokens SCIM não rejeitava provider IDs já usados por outros provedores de identidade, permitindo que um usuário autenticado fizesse as rotas SCIM operarem sobre contas que o token nunca provisionou. O registro descreve o impacto como tomada de conta e desprovisionamento não autorizado, com pontuação base CVSS de 9,9 atribuída pelo CNA, e cita versões corrigidas na descrição. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O plugin @better-auth/scim do better-auth possui um bypass de autorização relacionado ao tratamento de provider IDs. O registro informa que a emissão de tokens SCIM não rejeitava provider IDs já usados por provedores de SSO, SAML, OIDC, OAuth genérico ou login social, e que o mesmo provider ID lógico servia tanto à configuração do provedor SCIM quanto à propriedade das contas. Os detalhes estão no aviso do fornecedor.
Impacto
O registro descreve um usuário autenticado capaz de emitir um token SCIM cujo provider ID colide com um namespace de provedor existente. As rotas de usuário SCIM passariam então a resolver linhas de contas globais que o token nunca provisionou. Segundo o registro, isso permite listar, ler, atualizar e excluir contas globais de usuários e sessões, inclusive reescrever campos globais de perfil e e-mail sem verificações de unicidade. Os resultados apontados são tomada de conta e desprovisionamento não autorizado.
Produtos e versões afetadas
- a partir de 1.4.0-beta.27 até 1.6.21, inclusive
- a partir de 1.7.0-beta.0 até 1.7.0-beta.9, inclusive
O campo estruturado de afetados do registro lista as mesmas faixas como pontos de partida, por isso administradores devem confirmar a versão instalada do plugin em relação a esses limites.
Status de exploração
A entrada deste CVE não consta como listada no catálogo KEV no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os campos SSVC do registro indicam exploração como none e automação como no.
Correção e mitigação
- Atualize o @better-auth/scim para 1.6.22 na linha 1.6, ou para 1.7.0-beta.10 ou 1.7.0-rc.0 na linha 1.7, conforme indicado na descrição do registro.
- Revise quais usuários autenticados podem emitir tokens SCIM e restrinja essa capacidade até a aplicação da atualização.
- Revogue tokens SCIM cujos provider IDs coincidam com nomes usados por outros provedores de identidade do seu ambiente.
Orientações de detecção
- Audite os registros de emissão de tokens SCIM em busca de provider IDs que também correspondam a provedores de SSO, SAML, OIDC, OAuth ou login social.
- Procure alterações inesperadas em campos de perfil ou e-mail, revogações de sessão e exclusões de contas fora do padrão, especialmente quando coincidirem com atividade SCIM.
- Compare os dados atuais de contas e sessões com backups ou com um estado conhecido como bom para identificar registros alterados fora do provisionamento normal.
Limitações das informações disponíveis
O registro não lista versões corrigidas no campo estruturado de correções, embora a descrição cite 1.6.22, 1.7.0-beta.10 e 1.7.0-rc.0. O CWE atribuído é de validação imprópria de entrada, enquanto a descrição caracteriza a falha como bypass de autorização. Pré-requisitos de exploração além da autenticação, como configurações necessárias, não são descritos no registro.
Perguntas frequentes
Qual é o problema central do CVE-2026-67330?
A emissão de tokens SCIM não rejeitava provider IDs já usados por outros provedores de identidade, permitindo que rotas SCIM atuassem sobre contas que o token nunca provisionou.
Quais versões são afetadas segundo o registro?
O registro lista a partir de 1.4.0-beta.27 até 1.6.21, inclusive, e a partir de 1.7.0-beta.0 até 1.7.0-beta.9, inclusive.
Há exploração conhecida na natureza?
O registro não o lista no KEV, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.