@better-auth/expo 1.7.16 より前に、サーバーが発行していない state へ署名しアカウント乗っ取りのおそれ（CVE-2026-121802）: CVSS v3.1 9.1、認証不要、悪用の有無は未確認

@better-auth/expo（Better Auth の Expo 向けパッケージ）の 1.7.16 より前の版について、アカウント乗っ取りにつながる欠陥があるとして、CVE-2026-121802 が 2026-11-04 に NVD に登録されました。登録元は MITRE（cve@mitre.org）です。

何が起きるか

• NVD の記載によると、呼び出し側が渡した state 値を、サーバーが発行したものかどうか確かめずに署名してしまいます。
• その結果、たとえば認証なしで任意のアカウントのメールアドレスを変更されるなど、アカウント乗っ取りにつながる結果が起こりえます。
• 弱点の分類は CWE-346（発信元の検証が不十分）です。
• 修正版は 1.7.16 です。NVD の注記では、修正版へ更新した後にアプリケーションの秘密鍵（secret）を入れ替える必要があるとされています。

数値と severity

• CVSS v3.1 は 9.1（CRITICAL）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N です（評価元は MITRE。NVD 上は Secondary）。ネットワークから、認証も利用者の操作もなしに、機密性・完全性への影響が高いと評価されています。
• 認証不要で CVSS が 9 以上のため、severity は critical とします。
• NVD の状態は「Deferred」で、NVD 自身の評価はありません。
• FIRST の EPSS は本稿では未取得、CISA の KEV には載っていません。

対策

• @better-auth/expo を使っている場合は、1.7.16 以降に更新する。
• 更新したら、NVD の注記のとおり、アプリケーションの secret を入れ替える。更新だけでは、すでに署名された値が残るおそれがある。
• 更新までの間に、不審なメールアドレス変更などアカウントの変更履歴がないか確認する。

未確認の点

• 攻撃に必要な前提（どの認証フローを使っている場合に当たるか）。NVD の参照先の GitHub セキュリティ勧告は、本稿では内容を開けていません。
• 実際に悪用されているか、攻撃コードが出回っているか。
• 1.7.16 より前のうち、どの版から影響を受けるか（NVD は 0 以上 1.7.16 未満と記載）。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-121802
• GitHub セキュリティ勧告 GHSA-4wq4-2ppv-q3hg、リリース v1.7.16（NVD の参照先。未開封）
• CISA KEV（掲載なし）