CVE-2026-111927
CVE-2026-111927 · Coder before 2.35.4 Credential Theft via Workspace Proxy Hostname Prefix Match
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Coder before 2.29.20, 2.33.0 before 2.33.12, 2.34.0 before 2.34.8, and 2.35.0 before 2.35.4 contains an improper hostname validation flaw in GetWorkspaceProxyByHostname whose SIMILAR TO pattern performs a prefix match, so any domain that is a string prefix of a workspace-proxy access URL is trusted as a proxy. Attackers owning such a domain can lure an authenticated victim to a crafted /api/v2/applications/auth-redirect link, capture the redirected application_connect API key, and replay it to access the victim's workspace apps.
CVSS 8.7 · Hoch · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
coder
- Softwareversionen
- ≥ 2.35.0, < 2.35.4: Betroffen (semver)
- 2.35.4: Nicht betroffen (semver)
Auf 2.35.4 aktualisieren
coder
- Softwareversionen
- ≥ 2.34.0, < 2.34.8: Betroffen (semver)
- 2.34.8: Nicht betroffen (semver)
Auf 2.34.8 aktualisieren
coder
- Softwareversionen
- ≥ 2.33.0, < 2.33.12: Betroffen (semver)
- 2.33.12: Nicht betroffen (semver)
Auf 2.33.12 aktualisieren
coder
- Softwareversionen
- ≥ 0, < 2.29.20: Betroffen (semver)
- 2.29.20: Nicht betroffen (semver)
Auf 2.29.20 aktualisieren