CVE-2026-118687
CVE-2026-118687 · Coder before 2.29.21, 2.34.12, 2.35.9, 2.36.7, and 2.37.4 Missing Audience Validation in GCP Instance-Identity Authentication
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Coder before 2.29.21, 2.30.0 before 2.34.12, 2.35.0 before 2.35.9, 2.36.0 before 2.36.7, and 2.37.0 before 2.37.4 does not validate the audience claim of GCE instance-identity JWTs at the POST /api/v2/workspaceagents/google-instance-identity endpoint. Attackers who obtain an unexpired format=full identity token minted for another relying party can replay it to obtain that workspace agent's session token, which remains valid until the workspace's next build.
CVSS 8.3 · Alta · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Productos y versiones afectados
coder
- Versiones
- ≥ 2.37.0, < 2.37.4: Afectada (semver)
- 2.37.4: No afectada (semver)
Actualiza a 2.37.4
coder
- Versiones
- ≥ 2.36.0, < 2.36.7: Afectada (semver)
- 2.36.7: No afectada (semver)
Actualiza a 2.36.7
coder
- Versiones
- ≥ 2.35.0, < 2.35.9: Afectada (semver)
- 2.35.9: No afectada (semver)
Actualiza a 2.35.9
coder
- Versiones
- ≥ 2.30.0, < 2.34.12: Afectada (semver)
- 2.34.12: No afectada (semver)
Actualiza a 2.34.12
coder
- Versiones
- ≥ 0, < 2.29.21: Afectada (semver)
- 2.29.21: No afectada (semver)
Actualiza a 2.29.21