Better Authが12件の脆弱性を修正、Vercelの自動WAF保護後も更新が必要

何について

Vercelは、Better Authの脆弱性に対するWAF保護を利用者へ自動適用したと発表した。ただし、通信を検査するWAFだけでは完全な対策にならず、Better Authと利用中の関連パッケージを修正版へ更新するよう求めている。公式告知による修正版は、通常版が1.7.16、ベータ版が1.8.0-beta.5。認証回避やセッション失効など12件の問題に対応し、Expo連携には重大度Criticalの問題が含まれる。Vercel上の自動保護には追加設定や再デプロイは不要だが、セッション失効などアプリ側の処理に関わる問題は更新が必要だ。利用するプラグインによっては、更新後の秘密情報の交換や設定の見直し、既存データの確認も求められるため、該当する公式アドバイザリまで確認したい。

なぜ注目

自動防御が入ったことで対応済みと誤解しやすい点が重要です。利用者に更新という具体的な行動が必要で、公式がWAFでは防げない問題と追加対応の条件を示しているため、見逃し注意として掲載します。