CVE-2026-55435
Təsvir
Coder təşkilatlara Terraform vasitəsilə uzaq inkişaf mühitləri yaratmağa imkan verir. 2.30.0 versiyasından başlayaraq və 2.32.7, 2.33.8 və 2.34.2 versiyalarından əvvəl AI Bridge proxy son nöqtələri `coderd/aibridgedserver` daxilində `Server.IsAuthorized` vasitəsilə autentifikasiya edir; bu funksiya açarın formatını, bitmə müddətini, sirri və silinmiş və ya sistem istifadəçilərini yoxlayır, lakin hesabın dayandırılıb-dayandırılmadığını yoxlamır. Dayandırma mövcud API açarlarını ləğv etmədiyi üçün dayandırılmış istifadəçinin müddəti bitməmiş tokeni işləməyə davam edir. Praktiki təsir dayandırılmış istifadəçilərin artıq verilmiş API açarları həmin açarlar silinənədək məhdudlaşır. 2.32.7, 2.33.8 və 2.34.2 versiyaları problemi aradan qaldırır. Alternativ həll kimi, dayandırma zamanı istifadəçinin API açarlarını `DELETE /api/v2/users/{user}/keys` vasitəsilə silin.
Necə düzəltmək olar
- coder coder2.32.7, 2.33.8, 2.34.2 və ya daha yeni versiya
- github.com/coder/coder/v22.34.2, 2.33.8, 2.32.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| coder coder | 2.30.0 ≤ v < 2.32.7, 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.34.2 | 2.32.7, 2.33.8, 2.34.2 |
| github.com/coder/coder/v2Go | 2.34.0 ≤ v < 2.34.2, 2.33.0 ≤ v < 2.33.8, 2.30.0 ≤ v < 2.32.7 | 2.34.2, 2.33.8, 2.32.7 |
| github.com/coder/coderGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.