CVE-2026-77560

Tinyauth bir kimlik doğrulama ve yetkilendirme sunucusudur. 5.1.2 sürümünden önce Tinyauth, iletilen ana bilgisayar adlarını büyük/küçük harf duyarlı olarak karşılaştırırken, ters proxy'ler eşdeğer ana bilgisayar adlarını büyük/küçük harfe duyarsız şekilde yönlendirmektedir; bu durum, kimliği doğrulanmış düşük yetkili bir kullanıcının farklı büyük/küçük harf kullanımıyla uygulama başına erişim kontrollerini atlamasına olanak tanır. internal/service/access_controls_service.go dosyasındaki lookupStaticACLs ve GetAccessControls üzerinden yapılan arama ve internal/service/docker_service.go dosyasındaki GetLabels üzerinden yapılan Docker-etiketi geri dönüşü, yapılandırılmış uygulamayı gözden kaçırabilir ve boş bir erişim kontrol nesnesi döndürebilir. Ardından internal/controller/proxy_controller.go içindeki proxyHandler, boş kullanıcı, grup, OAuth, LDAP ve IP kısıtlamalarını izin verici olarak değerlendirir ve kullanıcıyı hariç tutması gereken bir uygulama için kimliği doğrulanmış bir sonuç döndürür. Kimliği doğrulanmamış kullanıcılar giriş yapmaya tabi olmaya devam eder ve genel giriş zamanı izin listeleri atlanmaz. Bu sorun 5.1.2 sürümünde düzeltilmiştir.