CVE-2026-118687
CVE-2026-118687 · Coder before 2.29.21, 2.34.12, 2.35.9, 2.36.7, and 2.37.4 Missing Audience Validation in GCP Instance-Identity Authentication
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Coder before 2.29.21, 2.30.0 before 2.34.12, 2.35.0 before 2.35.9, 2.36.0 before 2.36.7, and 2.37.0 before 2.37.4 does not validate the audience claim of GCE instance-identity JWTs at the POST /api/v2/workspaceagents/google-instance-identity endpoint. Attackers who obtain an unexpired format=full identity token minted for another relying party can replay it to obtain that workspace agent's session token, which remains valid until the workspace's next build.
CVSS 8.3 · Élevée · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
coder
- Versions du logiciel
- ≥ 2.37.0, < 2.37.4: Concernée (semver)
- 2.37.4: Non concernée (semver)
Mettez à jour vers 2.37.4
coder
- Versions du logiciel
- ≥ 2.36.0, < 2.36.7: Concernée (semver)
- 2.36.7: Non concernée (semver)
Mettez à jour vers 2.36.7
coder
- Versions du logiciel
- ≥ 2.35.0, < 2.35.9: Concernée (semver)
- 2.35.9: Non concernée (semver)
Mettez à jour vers 2.35.9
coder
- Versions du logiciel
- ≥ 2.30.0, < 2.34.12: Concernée (semver)
- 2.34.12: Non concernée (semver)
Mettez à jour vers 2.34.12
coder
- Versions du logiciel
- ≥ 0, < 2.29.21: Concernée (semver)
- 2.29.21: Non concernée (semver)
Mettez à jour vers 2.29.21