Better Auth 在 2026 年 11 月 3 日公開十二項安全公告，修補版本為 1.7.16 與 1.8.0-beta.5。使用它管理會員登入的網站，應一起更新主套件與使用中的 @better-auth/* 套件。若伺服器有註冊 Expo 或 Electron 插件，還要安排金鑰輪換，不能更新版本後便結案。
先核對套件與伺服器插件
| 項目 | 受影響範圍 | 修補版本 |
|---|---|---|
| better-auth 穩定版 | 低於 1.7.16 | 1.7.16 |
| 1.8.0 beta 支線 | beta.0 至 beta.4 | 1.8.0-beta.5 |
| Expo 插件穩定支線 | 1.4.0-beta.6 起、低於 1.7.16 | 1.7.16 |
各問題仍有插件、版本與設定條件，不能把整張表理解成每個網站都可被同一方式接管。請維護者核對鎖檔及伺服器實際註冊的插件；只在前端看見行動版登入按鈕，並不足以判定風險。
Expo 修補後還要換應用程式 secret
Critical 等級的 Expo 問題，涉及伺服器註冊 expo() 後提供的授權代理端點。端點可能替非伺服器簽發的值產生簽章；未登入的攻擊者若知道使用者電郵，可利用受信任的簽章取得該帳戶。啟用 session cookie cache 時，還有知道使用者 ID 後冒用身分的路徑。
Expo beta 支線受影響範圍同樣包括 1.8.0-beta.0 至 beta.4。更新主套件及 Expo 套件後，若該端點曾可達，原廠要求輪換應用程式 secret，因為更新前產生的簽章不會隨版本更新失效。輪換會影響既有登入狀態，應安排使用者重新登入並驗證正常流程。
Electron 與既有資料也需要後續處理
Electron 伺服器插件的問題涵蓋 1.5.0-beta.12 起、低於 1.7.16，以及 1.8.0-beta.0 至 beta.4。正常登入回應可能包含伺服器 auth secret 與已設定的社群登入 client secrets。原廠要求曾運行此插件的應用，將這些金鑰視為已暴露並全部輪換。另有繞過雙重驗證的路徑，需插件順序與密碼登入等額外條件。
同批其他修補包括電話號碼驗證、撤銷 session、組織角色及 Stripe 客戶關聯。採用 1.7.16 的電話登入網站應清理從未完成驗證的既存號碼；組織功能應稽核異常角色與邀請，不能直接把資料庫中的角色字串全部去空白，以免反而啟用意外權限。Stripe 修補亦不會自動修復先前錯誤的客戶關聯。
Vercel 表示已部署可辨識請求的 WAF 規則，但 session 撤銷等邏輯問題仍需套件修補。完成更新、重新部署與適用的輪換或資料處理後，再驗證登入、登出、撤銷 session 與權限。
資料核對日期：2026 年 11 月 4 日。正式安全公告於 11 月 3 日公開；原廠發布頁保留較早預告日期。封面為 AI 生成的概念插畫。
