Strix披露Better Auth Expo零点击账户接管漏洞

安全团队 Strix 称，在 Better Auth 的 Expo 集成 @better-auth/expo 中发现一个零点击账户接管漏洞：攻击者无需密码、邮箱访问或受害者交互，即可篡改邮箱并获取会话。该路径在未配置邮箱验证时即可生效。 Strix 表示，这种会话缓存伪造不适用于 jwe 策略，因为该策略使用 HKDF 派生加密密钥，代理无法伪造这类缓存令牌。Strix 已披露该漏洞并协调修复。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。