CVE-2025-71399

See a problem?
Please try reporting it to the source first.

Source

https://cve.org/CVERecord?id=CVE-2025-71399

Import Source

https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2025-71399.json

JSON Data

https://api.osv.dev/v1/vulns/CVE-2025-71399

Aliases

GHSA-x732-6j76-qmhm

Published

2026-08-02T12:15:22.129Z

Modified

2026-08-04T05:32:38.176271661Z

Severity

8.8 (High) CVSS_V4 - CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N CVSS Calculator

Summary

Better Auth before 1.4.5 Path Normalization Bypass via rou3

Details

Better Auth relies on better-call, which uses the rou3 router library. In affected versions of rou3, paths are normalized by removing empty segments, so /path, //path, and ///path resolve to the same route. In Better Auth versions prior to 1.4.5 (which bundles the fixed rou3), this can allow attackers to bypass disabledPaths configuration and path-based rate limits by submitting requests with extra slashes in the URL path. The issue does not apply in deployments where the proxy or platform normalizes URLs by collapsing multiple slashes.

Database specific

{
    "cwe_ids": [
        "CWE-20"
    ],
    "cna_assigner": "VulnCheck",
    "osv_generated_from": "https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/71xxx/CVE-2025-71399.json"
}

References

Affected packages

Git / github.com/better-auth/better-auth

Affected ranges

Type

GIT

Repo

https://github.com/better-auth/better-auth

Events

Introduced

Fixed

2000fd63d072e51f653aec356afd3308bba7946b

Database specific

{
    "source": "AFFECTED_FIELD",
    "extracted_events": [
        {
            "introduced": "0"
        },
        {
            "fixed": "1.4.5"
        }
    ]
}

Affected versions

@better-auth/cli@1.*

@better-auth/cli@1.3.4

@better-auth/expo@1.*

@better-auth/expo@1.3.4

@better-auth/sso@1.*

@better-auth/sso@1.3.4

@better-auth/stripe@1.*

@better-auth/stripe@1.3.4

better-auth@1.*

better-auth@1.3.4

Other

feat/2867-oidcprovider-trusted

v0.*

v0.0.10-beta.1

v0.0.10-beta.10

v0.0.10-beta.11

v0.0.10-beta.12

v0.0.10-beta.13

v0.0.10-beta.14

v0.0.10-beta.15

v0.0.10-beta.16

v0.0.10-beta.17

v0.0.10-beta.18

v0.0.10-beta.19

v0.0.10-beta.2

v0.0.10-beta.20

v0.0.10-beta.21

v0.0.10-beta.22

v0.0.10-beta.23

v0.0.10-beta.24

v0.0.10-beta.25

v0.0.10-beta.26

v0.0.10-beta.27

v0.0.10-beta.3

v0.0.10-beta.4

v0.0.10-beta.5

v0.0.10-beta.6

v0.0.10-beta.7

v0.0.10-beta.8

v0.0.10-beta.9

v0.0.2

v0.0.3

v0.0.4

v0.0.5

v0.0.6

v0.0.7

v0.0.8

v0.0.8-beta.1

v0.0.8-beta.10

v0.0.8-beta.11

v0.0.8-beta.12

v0.0.8-beta.13

v0.0.8-beta.14

v0.0.8-beta.15

v0.0.8-beta.16

v0.0.8-beta.17

v0.0.8-beta.18

v0.0.8-beta.19

v0.0.8-beta.2

v0.0.8-beta.20

v0.0.8-beta.21

v0.0.8-beta.22

v0.0.8-beta.23

v0.0.8-beta.24

v0.0.8-beta.25

v0.0.8-beta.26

v0.0.8-beta.27

v0.0.8-beta.28

v0.0.8-beta.29

v0.0.8-beta.3

v0.0.8-beta.4

v0.0.8-beta.5

v0.0.8-beta.6

v0.0.8-beta.7

v0.0.8-beta.8

v0.0.8-beta.9

v0.0.9

v0.0.9-beta.1

v0.0.9-beta.10

v0.0.9-beta.11

v0.0.9-beta.12

v0.0.9-beta.13

v0.0.9-beta.14

v0.0.9-beta.15

v0.0.9-beta.16

v0.0.9-beta.17

v0.0.9-beta.18

v0.0.9-beta.19

v0.0.9-beta.2

v0.0.9-beta.20

v0.0.9-beta.21

v0.0.9-beta.22

v0.0.9-beta.23

v0.0.9-beta.24

v0.0.9-beta.25

v0.0.9-beta.26

v0.0.9-beta.27

v0.0.9-beta.28

v0.0.9-beta.29

v0.0.9-beta.3

v0.0.9-beta.30

v0.0.9-beta.31

v0.0.9-beta.32

v0.0.9-beta.33

v0.0.9-beta.34

v0.0.9-beta.35

v0.0.9-beta.36

v0.0.9-beta.37

v0.0.9-beta.38

v0.0.9-beta.4

v0.0.9-beta.5

v0.0.9-beta.6

v0.0.9-beta.7

v0.0.9-beta.8

v0.0.9-beta.9

v0.1.0

v0.1.1-beta.1

v0.1.1-beta.2

v0.1.1-beta.4

v0.1.1-beta.5

v0.1.1-beta.6

v0.2.1

v0.2.1-beta.1

v0.2.10

v0.2.11

v0.2.2

v0.2.3

v0.2.5

v0.2.5-beta.1

v0.2.5-beta.3

v0.2.5-beta.4

v0.2.6

v0.2.6-beta.1

v0.2.6-beta.10

v0.2.6-beta.3

v0.2.6-beta.4

v0.2.6-beta.5

v0.2.6-beta.6

v0.2.6-beta.7

v0.2.6-beta.8

v0.2.6-beta.9

v0.2.8

v0.2.8-beta.1

v0.2.8-beta.10

v0.2.8-beta.11

v0.2.8-beta.12

v0.2.8-beta.13

v0.2.8-beta.8

v0.2.8-beta.9

v0.2.9

v0.2.9-beta.1

v0.2.9-beta.2

v0.2.9-beta.4

v0.2.9-beta.5

v0.2.9-beta.6

v0.2.9-beta.7

v0.2.9-beta.8

v0.2.9-beta.9

v0.3.0

v0.3.2

v0.3.3

v0.3.3-beta.1

v0.3.3-beta.10

v0.3.3-beta.11

v0.3.3-beta.12

v0.3.3-beta.2

v0.3.3-beta.3

v0.3.3-beta.4

v0.3.3-beta.5

v0.3.3-beta.8

v0.3.3-beta.9

v0.3.4

v0.3.4-beta.1

v0.3.4-beta.2

v0.3.4-beta.6

v0.3.5

v0.3.5-beta.1

v0.3.5-beta.2

v0.3.5-beta.4

v0.3.5-beta.5

v0.3.5-beta.6

v0.3.5-beta.7

v0.3.5-beta.8

v0.3.6

v0.4.0

v0.4.1

v0.4.10

v0.4.10-beta.4

v0.4.10-beta.5

v0.4.11

v0.4.11-beta.1

v0.4.11-beta.2

v0.4.11-beta.3

v0.4.12

v0.4.12-beta.1

v0.4.12-beta.2

v0.4.12-beta.3

v0.4.12-beta.4

v0.4.12-beta.5

v0.4.12-beta.7

v0.4.13

v0.4.14-beta.1

v0.4.14-beta.2

v0.4.2

v0.4.3

v0.4.3-beta.1

v0.4.4

v0.4.4-beta.1

v0.4.5

v0.4.7

v0.4.7-beta.1

v0.4.7-beta.2

v0.4.8

v0.4.9-beta.1

v0.4.9-beta.10

v0.4.9-beta.11

v0.4.9-beta.2

v0.4.9-beta.3

v0.4.9-beta.4

v0.4.9-beta.5

v0.4.9-beta.6

v0.4.9-beta.7

v0.4.9-beta.8

v0.4.9-beta.9

v0.5.0

v0.5.1

v0.5.1-beta.1

v0.5.1-beta.2

v0.5.1-beta.3

v0.5.1-beta.4

v0.5.1-beta.5

v0.5.1-beta.6

v0.5.2-beta.10

v0.5.2-beta.11

v0.5.2-beta.12

v0.5.2-beta.13

v0.5.2-beta.14

v0.5.2-beta.16

v0.5.2-beta.17

v0.5.2-beta.18

v0.5.2-beta.2

v0.5.2-beta.20

v0.5.2-beta.5

v0.5.2-beta.6

v0.5.2-beta.7

v0.5.2-beta.8

v0.5.2-beta.9

v0.5.3

v0.5.3-beta.1

v0.5.3-beta.11

v0.5.3-beta.13

v0.5.3-beta.15

v0.5.3-beta.16

v0.5.3-beta.17

v0.5.3-beta.2

v0.5.3-beta.3

v0.5.3-beta.4

v0.5.3-beta.5

v0.5.3-beta.6

v0.5.3-beta.7

v0.5.3-beta.8

v0.5.3-beta.9

v0.5.4-beta.3

v0.5.4-beta.4

v0.5.4-beta.5

v0.5.4-beta.6

v0.6.0

v0.6.0-beta.1

v0.6.1

v0.6.1-beta.1

v0.6.1-beta.2

v0.6.1-beta.3

v0.6.1-beta.4

v0.6.1-beta.5

v0.6.1-beta.7

v0.6.1-beta.9

v0.6.2

v0.6.2-beta.8

v0.6.3-beta.5

v0.7.0

v0.7.0-beta.1

v0.7.1

v0.7.1-beta.1

v0.7.1-beta.3

v0.7.1-beta.4

v0.7.1-beta.6

v0.7.2

v0.7.2-beta.4

v0.7.2-beta.5

v0.7.3

v0.7.3-beta.1

v0.7.3-beta.11

v0.7.3-beta.2

v0.7.3-beta.3

v0.7.3-beta.4

v0.7.3-beta.5

v0.7.3-beta.6

v0.7.3-beta.7

v0.7.3-beta.8

v0.7.3-beta.9

v0.7.4

v0.7.5

v0.7.5-beta.1

v0.7.5-beta.2

v0.7.5-beta.3

v0.7.5-beta.4

v0.7.5-beta.5

v0.7.5-beta.6

v0.7.5-beta.7

v0.7.5-beta.8

v0.7.5-beta.9

v0.7.6-beta.1

v0.7.6-beta.2

v0.7.6-beta.3

v0.7.6-beta.4

v0.8.0

v0.8.1

v0.8.1-beta.1

v0.8.1-beta.2

v0.8.1-beta.3

v0.8.1-beta.4

v0.8.1-beta.5

v0.8.2

v0.8.2-beta.1

v0.8.2-beta.3

v0.8.3-beta.3

v0.8.3-beta.4

v0.8.3-beta.5

v0.8.3-beta.6

v0.8.4

v0.8.4-beta.4

v0.8.4-beta.5

v0.8.4-beta.6

v0.8.4-beta.7

v0.8.5

v0.8.5-beta.1

v0.8.5-beta.2

v0.8.5-beta.3

v0.8.6-beta.1

v0.8.6-beta.2

v0.8.6-beta.3

v0.8.6-beta.6

v0.8.7-beta.1

v0.8.7-beta.2

v0.8.7-beta.3

v0.8.7-beta.5

v0.8.8

v0.8.8-beta.1

v0.8.8-beta.2

v0.8.9-beta.2

v1.*

v1.0.10

v1.0.10-beta.1

v1.0.10-beta.2

v1.0.10-beta.3

v1.0.11

v1.0.11-beta.2

v1.0.11-beta.4

v1.0.11-beta.5

v1.0.11-beta.6

v1.0.11-beta.7

v1.0.11-beta.8

v1.0.12

v1.0.12-beta.1

v1.0.12-beta.2

v1.0.12-beta.3

v1.0.13

v1.0.14

v1.0.15

v1.0.16

v1.0.16-beta.1

v1.0.16-beta.2

v1.0.17

v1.0.18

v1.0.19

v1.0.2

v1.0.20

v1.0.21

v1.0.22

v1.0.22-beta.1

v1.0.22-beta.2

v1.0.22-beta.3

v1.0.22-beta.4

v1.0.23-beta.2

v1.0.23-beta.6

v1.0.3

v1.0.4

v1.0.5

v1.0.6

v1.0.7

v1.0.8

v1.0.8-beta.1

v1.0.8-beta.2

v1.0.8-beta.4

v1.0.9

v1.0.9-beta.1

v1.0.9-beta.3

v1.0.9-beta.5

v1.0.9-beta.6

v1.0.9-beta.7

v1.1.0

v1.1.1

v1.1.10

v1.1.10-beta.1

v1.1.10-beta.2

v1.1.11

v1.1.11-beta.1

v1.1.12

v1.1.12-beta.2

v1.1.12-beta.3

v1.1.12-beta.4

v1.1.13

v1.1.13-beta.1

v1.1.13-beta.2

v1.1.13-beta.3

v1.1.14

v1.1.14-beta.1

v1.1.14-beta.2

v1.1.14-beta.3

v1.1.14-beta.4

v1.1.14-beta.5

v1.1.14-beta.6

v1.1.15-beta.1

v1.1.15-beta.2

v1.1.15-beta.3

v1.1.15-beta.4

v1.1.15-beta.5

v1.1.15-beta.6

v1.1.2

v1.1.2-beta.1

v1.1.2-beta.2

v1.1.2-beta.3

v1.1.2-beta.4

v1.1.3

v1.1.3-beta.6

v1.1.4

v1.1.4-beta.1

v1.1.4-beta.2

v1.1.5

v1.1.6

v1.1.7

v1.1.8

v1.1.8-beta.1

v1.1.8-beta.2

v1.1.8-beta.3

v1.1.9

v1.1.9-beta.1

v1.2.0

v1.2.0-beta.10

v1.2.0-beta.11

v1.2.0-beta.12

v1.2.0-beta.13

v1.2.0-beta.14

v1.2.0-beta.15

v1.2.0-beta.16

v1.2.0-beta.17

v1.2.0-beta.18

v1.2.0-beta.19

v1.2.0-beta.2

v1.2.0-beta.3

v1.2.0-beta.4

v1.2.0-beta.5

v1.2.0-beta.6

v1.2.0-beta.7

v1.2.0-beta.8

v1.2.0-beta.9

v1.2.1

v1.2.1-beta.1

v1.2.1-beta.2

v1.2.1-beta.3

v1.2.1-beta.4

v1.2.1-beta.5

v1.2.1-beta.6

v1.2.1-beta.7

v1.2.1-beta.8

v1.2.10

v1.2.10-beta.1

v1.2.11

v1.2.12

v1.2.2

v1.2.2-beta.1

v1.2.2-beta.2

v1.2.2-beta.3

v1.2.2-beta.4

v1.2.2-beta.5

v1.2.2-beta.6

v1.2.3

v1.2.3-beta.1

v1.2.3-beta.2

v1.2.3-beta.3

v1.2.4

v1.2.4-beta.1

v1.2.4-beta.10

v1.2.4-beta.12

v1.2.4-beta.2

v1.2.4-beta.3

v1.2.4-beta.4

v1.2.4-beta.5

v1.2.4-beta.6

v1.2.4-beta.7

v1.2.4-beta.8

v1.2.4-beta.9

v1.2.5

v1.2.5-beta.1

v1.2.5-beta.10

v1.2.5-beta.2

v1.2.5-beta.3

v1.2.5-beta.4

v1.2.5-beta.5

v1.2.5-beta.6

v1.2.5-beta.7

v1.2.5-beta.8

v1.2.5-beta.9

v1.2.6

v1.2.6-beta.1

v1.2.6-beta.10

v1.2.6-beta.11

v1.2.6-beta.12

v1.2.6-beta.13

v1.2.6-beta.2

v1.2.6-beta.3

v1.2.6-beta.4

v1.2.6-beta.5

v1.2.6-beta.6

v1.2.6-beta.7

v1.2.6-beta.8

v1.2.6-beta.9

v1.2.7

v1.2.7-beta.1

v1.2.8

v1.2.8-beta.1

v1.2.8-beta.2

v1.2.8-beta.3

v1.2.8-beta.4

v1.2.8-beta.6

v1.2.8-beta.7

v1.2.8-beta.8

v1.2.9

v1.2.9-beta.10

v1.2.9-beta.5

v1.2.9-beta.6

v1.2.9-beta.7

v1.2.9-beta.8

v1.2.9-beta.9

v1.3.0

v1.3.0-beta.10

v1.3.0-beta.11

v1.3.1

v1.3.1-beta.1

v1.3.10

v1.3.11

v1.3.2

v1.3.3

v1.3.5-beta.1

v1.3.5-beta.2

v1.3.5-beta.3

v1.3.5-beta.4

v1.3.5-beta.5

v1.3.5-beta.6

v1.3.5-beta.7

v1.3.6

v1.3.7-beta.2

v1.3.7-beta.3

v1.3.8

v1.3.8-beta.1

v1.3.9

v1.4.0-beta.1

v1.4.0-beta.10

v1.4.0-beta.11

v1.4.0-beta.12

v1.4.0-beta.13

v1.4.0-beta.14

v1.4.0-beta.15

v1.4.0-beta.16

v1.4.0-beta.17

v1.4.0-beta.18

v1.4.0-beta.19

v1.4.0-beta.2

v1.4.0-beta.20

v1.4.0-beta.21

v1.4.0-beta.22

v1.4.0-beta.23

v1.4.0-beta.24

v1.4.0-beta.25

v1.4.0-beta.26

v1.4.0-beta.27

v1.4.0-beta.3

v1.4.0-beta.4

v1.4.0-beta.5

v1.4.0-beta.6

v1.4.0-beta.7

v1.4.0-beta.8

v1.4.0-beta.9

v1.4.1-beta.1

v1.4.2-beta.2

v1.4.2-beta.3

v1.4.2-beta.4

v1.4.2-beta.5

v1.4.4-beta.1

v1.4.4-beta.3

v1.4.5-beta.1

Database specific

source

"https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2025-71399.json"