Better Auth 修复 12 项安全漏洞，发布 v1.7.16 和 v1.8.0-beta.5

Better Auth v1.7.16 和 v1.8.0-beta.5 已在 npm 上发布。这两个版本修复了今天在 GitHub Security Advisories 上发布的 12 份安全公告中描述的问题。请升级到你所在发布线的修复版本。

如果你的应用部署在 Vercel 上，我们已经针对所有可合理识别的问题应用了 WAF 防护。尽管如此，我们仍建议升级到 Better Auth 的最新版本。

v1.7.x：1.7.16 v1.8.0-beta.x：1.8.0-beta.5

单独发布的包，例如 @better-auth/expo、@better-auth/electron、@better-auth/passkey、@better-auth/stripe 和 @better-auth/kysely-adapter，也以相同版本发布。请一起更新所有 Better Auth 包。

严重 Expo 授权代理可以为并非由它签发的值签名 修复于：1.7.16、1.8.0-beta.5

高危 手机号 手机号可在验证之前被抢先占用 修复于：1.7.16、1.8.0-beta.5

Electron 桌面端登录可能返回服务器密钥并跳过双因素认证 修复于：1.7.16、1.8.0-beta.5

中危 核心 邮箱变更链接在地址易主后仍然有效 修复于：1.7.16、1.8.0-beta.5

OAuth 登录可能将未验证的提供商邮箱视为已验证 修复于：1.7.16、1.8.0-beta.5

MySQL 自增 ID 可能返回另一个请求的记录（@better-auth/kysely-adapter） 修复于：1.7.16、1.8.0-beta.5

已撤销的会话在使用二级存储或 cookie 缓存时可能仍然有效 修复于：1.7.16、1.8.0-beta.5

邮箱 OTP 邮箱 OTP 尝试次数限制可被竞态绕过，且验证码与邮箱地址的绑定不严格 修复于：1.7.16、1.8.0-beta.5

管理 拥有 user:update 权限的管理员角色可以更改其他用户的手机号 修复于：1.7.16、1.8.0-beta.5

组织 组织管理员可以通过在角色名中填充字符来邀请所有者 修复于：1.7.16、1.8.0-beta.5

Stripe 计费操作可能指向其他客户的 Stripe 账户 修复于：1.7.16、1.8.0-beta.5

低危 Passkey Passkey 验证未强制校验来源或用户验证 修复于：1.7.16、1.8.0-beta.5

每份公告都列出了受影响的版本以及判断你是否受影响的的条件。

请将 better-auth 及所有 @better-auth/* 包更新到 1.7.16，beta 线则更新到 1.8.0-beta.5。

请阅读你所用插件对应的公告。部分修复需要增加一个配置步骤，例如列出受信任的来源。

致谢 感谢所有私下向我们报告这些问题的人。我们持续开展的安全审查包括与通过 OSS 安全计划提供的前沿 AI 模型合作。

如果你认为在 Better Auth 中发现了漏洞，请先阅读我们的安全策略，然后在 GitHub 上提交私密报告，或发邮件至 security@better-auth.com。