CVE-2026-55435
Açıklama
Coder, kuruluşların Terraform aracılığıyla uzak geliştirme ortamları sağlamasına olanak tanır. Versiyon 2.30.0 ile başlayıp 2.32.7, 2.33.8 ve 2.34.2 versiyonlarından önceki sürümlerde, AI Bridge proxy uç noktaları `coderd/aibridgedserver` içindeki `Server.IsAuthorized` üzerinden kimlik doğrulaması yapar; bu işlem anahtar formatını, son kullanma tarihini, gizli anahtarı ve silinmiş veya sistem kullanıcılarını doğrular ancak hesabın askıya alınıp alınmadığını kontrol etmez. Askıya alma işlemi mevcut API anahtarlarını iptal etmediği için, askıya alınmış bir kullanıcının süresi dolmamış belirteci çalışmaya devam eder. Pratik etki, askıya alınan kullanıcıların önceden düzenlenmiş API anahtarları silinene kadar bu anahtarlarla sınırlıdır. Versiyonlar 2.32.7, 2.33.8 ve 2.34.2 sorunu giderir. Geçici çözüm olarak, hesap askıya alındığında kullanıcının API anahtarları `DELETE /api/v2/users/{user}/keys` yoluyla silinmelidir.
Nasıl düzeltilir
- coder coder2.32.7, 2.33.8, 2.34.2 ya da sonraki bir sürüm
- github.com/coder/coder/v22.34.2, 2.33.8, 2.32.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coder coder | 2.30.0 ≤ v < 2.32.7, 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.34.2 | 2.32.7, 2.33.8, 2.34.2 |
| github.com/coder/coder/v2Go | 2.34.0 ≤ v < 2.34.2, 2.33.0 ≤ v < 2.33.8, 2.30.0 ≤ v < 2.32.7 | 2.34.2, 2.33.8, 2.32.7 |
| github.com/coder/coderGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.