CVE-2026-55076
Təsvir
Coder təşkilatlara Terraform vasitəsilə uzaqdan işlənmə mühitlərini təmin etməyə imkan verir. 2.29.7, 2.32.7, 2.33.8 və 2.34.2 versiyalarından əvvəl Coder-in OIDC geri çağırma funksiyası `email_verified` parametrini birbaşa Go `bool` tipi təsdiqi ilə yoxlayırdı. IdP bu iddianı boolean olmayan formatda (məsələn, `"false"` sətiri kimi) qaytardıqda və ya onu ötürdüklərdə, təsdiq uğursuz olurdu və e-poçt təsdiqlənmiş kimi qəbul edilirdi. Şartsız e-poçt əsaslı hesab ehtiyat variantı ilə birlikdə bu, hesabın ələ keçirilməsinə imkan verirdi. 2.29.7, 2.32.7, 2.33.8 və 2.34.2 versiyalarındakı düzəliş `email_verified` parametrini bool, string və rəqəm tipləri üzrə məcburi çevirməni tətbiq edir (fail-closed) və uyğun gələn istifadəçinin artıq fərqli bağlı IdP subyekti olduqda e-poçt ehtiyat variantını bloklayır. Müvəqqəti həll yolu kimi, IdP-nin `email_verified` parametrini yerli JSON boolean kimi qaytardığından əmin olun. E-poçt ehtiyat variantının bağlanması problemi üçün konfiqurasiya vasitəsilə müvəqqəti həll yolu yoxdur; yeniləmə tələb olunur.
Necə düzəltmək olar
- coder coder2.29.17, 2.32.7, 2.33.8, 2.34.2 və ya daha yeni versiya
- github.com/coder/coder/v22.34.2, 2.33.8, 2.32.7, 2.29.17 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| coder coder | v < 2.29.17, 2.30.0 ≤ v < 2.32.7, 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.34.2 | 2.29.17, 2.32.7, 2.33.8, 2.34.2 |
| github.com/coder/coder/v2Go | 2.34.0 ≤ v < 2.34.2, 2.33.0 ≤ v < 2.33.8, 2.30.0 ≤ v < 2.32.7, v < 2.29.17 | 2.34.2, 2.33.8, 2.32.7, 2.29.17 |
| github.com/coder/coderGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.