8.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Coder before 2.29.21, 2.30.0 before 2.34.12, 2.35.0 before 2.35.9, 2.36.0 before 2.36.7, and 2.37.0 before 2.37.4 does not validate the audience claim of GCE instance-identity JWTs at the POST /api/v2/workspaceagents/google-instance-identity endpoint. Attackers who obtain an unexpired format=full identity token minted for another relying party can replay it to obtain that workspace agent's session token, which remains valid until the workspace's next build.
Засегнати продукти
- coder coder: 2.37.0 преди 2.37.4; 2.37.4
- coder coder: 2.36.0 преди 2.36.7; 2.36.7
- coder coder: 2.35.0 преди 2.35.9; 2.35.9
- coder coder: 2.30.0 преди 2.34.12; 2.34.12
- coder coder: преди 2.29.21; 2.29.21
Вид слабост
История
- 28 октомври 2026 Публикувано
Други уязвимости в coder coder
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-118687
- https://nvd.nist.gov/vuln/detail/CVE-2026-118687
- https://github.com/coder/coder/security/advisories/GHSA-24vh-q7rg-243w
- https://www.vulncheck.com/advisories/coder-before-2.29.21-2.34.12-2.35.9-2.36.7-and-2.37.4-missing-audience-validation-in-gcp-instance-identity-authentication