Към съдържанието
Търсене

CVE-2026-111927: coder, заобикаляне на вход и права

8.7

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Coder before 2.29.20, 2.33.0 before 2.33.12, 2.34.0 before 2.34.8, and 2.35.0 before 2.35.4 contains an improper hostname validation flaw in GetWorkspaceProxyByHostname whose SIMILAR TO pattern performs a prefix match, so any domain that is a string prefix of a workspace-proxy access URL is trusted as a proxy. Attackers owning such a domain can lure an authenticated victim to a crafted /api/v2/applications/auth-redirect link, capture the redirected application_connect API key, and replay it to access the victim's workspace apps.

Засегнати продукти

  • coder coder: 2.35.0 преди 2.35.4; 2.35.4
  • coder coder: 2.34.0 преди 2.34.8; 2.34.8
  • coder coder: 2.33.0 преди 2.33.12; 2.33.12
  • coder coder: преди 2.29.20; 2.29.20

Вид слабост

История

  • 17 октомври 2026 Публикувано

Други уязвимости в coder coder

Първоизточници

CVE-2026-111927: coder, заобикаляне на вход и права | freedomonline.bg