--- title: "@better-auth/expo 1.7.16 より前に、サーバーが発行していない state へ署名しアカウント乗っ取りのおそれ（CVE-2026-121802）: CVSS v3.1 9.1、認証不要、悪用の有無は未確認" url: https://n-t-p.io/worldsecurity/articles/better-auth-expo-unissued-state-account-takeover-cve-2026-121802 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-121802 --- # @better-auth/expo 1.7.16 より前に、サーバーが発行していない state へ署名しアカウント乗っ取りのおそれ（CVE-2026-121802）: CVSS v3.1 9.1、認証不要、悪用の有無は未確認 > **TL;DR:** @better-auth/expo の 1.7.16 より前で、サーバーが発行していない state に署名するため、認証なしでメールアドレス変更などアカウント乗っ取りが起こりうる（CVE-2026-121802、CWE-346、CVSS v3.1 9.1）。修正版は 1.7.16 で、更新後は secret の入れ替えが必要。悪用の有無は未確認。KEV 未掲載。 **要点** - @better-auth/expo 1.7.16 より前に、発行を確かめない state への署名で乗っ取りが起こりうる欠陥（CVE-2026-121802）。 - CVSS v3.1 は 9.1。認証・利用者の操作とも不要と評価されている。NVD の状態は Deferred。 - 修正版は 1.7.16。更新後はアプリケーションの secret を入れ替える。 - 悪用の有無・攻撃の前提は未確認。KEV には載っていない。 @better-auth/expo（Better Auth の Expo 向けパッケージ）の 1.7.16 より前の版について、アカウント乗っ取りにつながる欠陥があるとして、CVE-2026-121802 が 2026-11-04 に NVD に登録されました。登録元は MITRE（cve@mitre.org）です。 ## 何が起きるか - NVD の記載によると、呼び出し側が渡した state 値を、サーバーが発行したものかどうか確かめずに署名してしまいます。 - その結果、たとえば認証なしで任意のアカウントのメールアドレスを変更されるなど、アカウント乗っ取りにつながる結果が起こりえます。 - 弱点の分類は CWE-346（発信元の検証が不十分）です。 - 修正版は 1.7.16 です。NVD の注記では、修正版へ更新した後にアプリケーションの秘密鍵（secret）を入れ替える必要があるとされています。 ## 数値と severity - CVSS v3.1 は 9.1（CRITICAL）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N です（評価元は MITRE。NVD 上は Secondary）。ネットワークから、認証も利用者の操作もなしに、機密性・完全性への影響が高いと評価されています。 - 認証不要で CVSS が 9 以上のため、severity は critical とします。 - NVD の状態は「Deferred」で、NVD 自身の評価はありません。 - FIRST の EPSS は本稿では未取得、CISA の KEV には載っていません。 ## 対策 - @better-auth/expo を使っている場合は、1.7.16 以降に更新する。 - 更新したら、NVD の注記のとおり、アプリケーションの secret を入れ替える。更新だけでは、すでに署名された値が残るおそれがある。 - 更新までの間に、不審なメールアドレス変更などアカウントの変更履歴がないか確認する。 ## 未確認の点 - 攻撃に必要な前提（どの認証フローを使っている場合に当たるか）。NVD の参照先の GitHub セキュリティ勧告は、本稿では内容を開けていません。 - 実際に悪用されているか、攻撃コードが出回っているか。 - 1.7.16 より前のうち、どの版から影響を受けるか（NVD は 0 以上 1.7.16 未満と記載）。 - NVD の最終評価と EPSS。 ## 出典 - NVD: CVE-2026-121802 - GitHub セキュリティ勧告 GHSA-4wq4-2ppv-q3hg、リリース v1.7.16（NVD の参照先。未開封） - CISA KEV（掲載なし） ## 出典 - [NVD CVE-2026-121802](https://nvd.nist.gov/vuln/detail/CVE-2026-121802) — NIST NVD - [GitHub セキュリティ勧告 GHSA-4wq4-2ppv-q3hg（未開封）](https://github.com/better-auth/better-auth/security/advisories/GHSA-4wq4-2ppv-q3hg) — better-auth --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/better-auth-expo-unissued-state-account-takeover-cve-2026-121802