- Yama var
- Son 7 gün
- CWE-441
CVE-2026-118687
Coder before 2.29.21, 2.34.12, 2.35.9, 2.36.7, and 2.37.4 Missing Audience Validation in GCP Instance-Identity Authentication
Orta
6,5
CVSS 3.1
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.
Coder before 2.29.21, 2.30.0 before 2.34.12, 2.35.0 before 2.35.9, 2.36.0 before 2.36.7, and 2.37.0 before 2.37.4 does not validate the audience claim of GCE instance-identity JWTs at the POST /api/v2/workspaceagents/google-instance-identity endpoint. Attackers who obtain an unexpired format=full identity token minted for another relying party can replay it to obtain that workspace agent's session token, which remains valid until the workspace's next build.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| coder | ≥ 2.37.0, < 2.37.4 | 2.37.4 |
| 2.37.4 Etkilenmiyor | – | |
| ≥ 2.36.0, < 2.36.7 | 2.36.7 | |
| 2.36.7 Etkilenmiyor | – | |
| ≥ 2.35.0, < 2.35.9 | 2.35.9 | |
| 2.35.9 Etkilenmiyor | – | |
| ≥ 2.30.0, < 2.34.12 | 2.34.12 | |
| 2.34.12 Etkilenmiyor | – | |
| < 2.29.21 | 2.29.21 | |
| 2.29.21 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı