「scim」の脆弱性 CVE-2026-67330

CVE ID	CVE-2026-67330
対象製品	scim (better-auth)
影響バージョン	1.4.0-beta.27 〜 < * (affected) 1.7.0-beta.0 〜 < * (affected)
CVSS	9.4 / 10 (緊急) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CWE	CWE-20
公開日	2026年8月1日
更新日	2026年8月1日

CVE ID

CVE-2026-67330

対象製品

scim (better-auth)

影響バージョン

1.4.0-beta.27 〜 < * (affected)
1.7.0-beta.0 〜 < * (affected)

CVSS

9.4 / 10 (緊急)

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

CWE

CWE-20

公開日

2026年8月1日

更新日

2026年8月1日

どんな危険があるか

@better-auth/scimプラグインには、プロバイダーIDの衝突による認証バイパス（CWE-20）の脆弱性があり、アカウントが乗っ取られる可能性があります。認証済みユーザーが既存のプロバイダーと衝突するSCIMトークンを発行すると、そのトークンがプロビジョニングしていないアカウントの行を解決できてしまいます。これにより、グローバルユーザーアカウントやセッションの閲覧、読み取り、更新（一意性チェックなしでのプロファイル/メールフィールド書き換えを含む）、削除が可能となり、アカウントの乗っ取りや不正なプロビジョニング解除につながる恐れがあります。

今すぐやること

@better-auth/scimのバージョンが脆弱な範囲（1.4.0-beta.27以降1.6.21以下、および1.7.0-beta.0以降1.7.0-beta.9以下）に含まれる場合、速やかにバージョン1.6.22または1.7.0-beta.10 (1.7.0-rc.0) 以降にアップデートしてください。ベンダーアドバイザリを確認し、推奨される修正を適用することが重要です。

本ページの情報は公開時点 (2026年8月2日) のものです。最新情報は上記の出典を確認してください。

本ページは CVE Program のデータを含みます。CVE および関連するロゴは MITRE Corporation の商標です。CVE レコードは CVE Terms of Use に基づき再構成・掲載しています。

脆弱性データの一部は採番機関 (CNA) 「VulnCheck」のアドバイザリを出典としています。データは db.gcve.eu (CIRCL / GCVE) 経由で取得しました。