CVE-2026-55431
Təsvir
Coder təşkilatlara Terraform vasitəsilə uzaq inkişaf mühitləri təmin etməyə imkan verir. 2.29.7, 2.32.7, 2.33.8 və 2.34.2 versiyalarından əvvəl `coder open app` sxemi və hostu yoxlamadan xarici iş sahəsi tətbiqlərinin URL-lərini açır. Xarici tətbiq URL-i `$SESSION_TOKEN` yer tutucusunu ehtiva etdikdə, CLI URL-i OS-un açma emalçısına ötürməzdən əvvəl onu istifadəçinin real sessiya tokeni ilə əvəz edir. Praktik istismar qurbanın xarici tətbiq tərifinə hücumçunun nəzarət etdiyi iş sahəsinə qarşı `coder open app` əmrini işlətməsini tələb edir. Yalnız zərərli şablon müəllifi xarici tətbiq URL-lərinə nəzarət edə bilər. 2.29.7, 2.32.7, 2.33.8 və 2.34.2 versiyalarındakı düzəliş CLI-da URL sxemi üçün icazə siyahısı tətbiq edir və `$SESSION_TOKEN` əvəzlənməsini veb frontend kimi etibarlı təyinatatlarla məhdudlaşdırır. Müvəqqəti həll kimi, etibarsız iş sahələri üçün `coder open app` əmrini işlətməkdən çəkinin.
Necə düzəltmək olar
- coder coder2.29.17, 2.32.7, 2.33.8, 2.34.2 və ya daha yeni versiya
- github.com/coder/coder/v22.34.2, 2.33.8, 2.32.7, 2.29.17 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| coder coder | v < 2.29.17, 2.30.0 ≤ v < 2.32.7, 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.34.2 | 2.29.17, 2.32.7, 2.33.8, 2.34.2 |
| github.com/coder/coder/v2Go | 2.34.0 ≤ v < 2.34.2, 2.33.0 ≤ v < 2.33.8, 2.30.0 ≤ v < 2.32.7, v < 2.29.17 | 2.34.2, 2.33.8, 2.32.7, 2.29.17 |
| github.com/coder/coderGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.