CVE-2026-118687
CVE-2026-118687 · Coder before 2.29.21, 2.34.12, 2.35.9, 2.36.7, and 2.37.4 Missing Audience Validation in GCP Instance-Identity Authentication
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Coder before 2.29.21, 2.30.0 before 2.34.12, 2.35.0 before 2.35.9, 2.36.0 before 2.36.7, and 2.37.0 before 2.37.4 does not validate the audience claim of GCE instance-identity JWTs at the POST /api/v2/workspaceagents/google-instance-identity endpoint. Attackers who obtain an unexpired format=full identity token minted for another relying party can replay it to obtain that workspace agent's session token, which remains valid until the workspace's next build.
CVSS 8.3 · Hoch · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
coder
- Softwareversionen
- ≥ 2.37.0, < 2.37.4: Betroffen (semver)
- 2.37.4: Nicht betroffen (semver)
Auf 2.37.4 aktualisieren
coder
- Softwareversionen
- ≥ 2.36.0, < 2.36.7: Betroffen (semver)
- 2.36.7: Nicht betroffen (semver)
Auf 2.36.7 aktualisieren
coder
- Softwareversionen
- ≥ 2.35.0, < 2.35.9: Betroffen (semver)
- 2.35.9: Nicht betroffen (semver)
Auf 2.35.9 aktualisieren
coder
- Softwareversionen
- ≥ 2.30.0, < 2.34.12: Betroffen (semver)
- 2.34.12: Nicht betroffen (semver)
Auf 2.34.12 aktualisieren
coder
- Softwareversionen
- ≥ 0, < 2.29.21: Betroffen (semver)
- 2.29.21: Nicht betroffen (semver)
Auf 2.29.21 aktualisieren