CVE-2026-55075
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W Coder przed wersjami 2.29.7, 2.32.7, 2.33.8 i 2.34.2 wykryto dwie luki w mechanizmie logowania OIDC, które połączone umożliwiają przejęcie konta. Dopasowywanie użytkowników na podstawie adresu e-mail działało bez sprawdzania, czy istnieje już powiązanie z innym podmiotem IdP, a roszczenie `email_verified` było egzekwowane tylko wtedy, gdy występowało jako wartość logiczna `false`, co oznacza, że brak roszczenia lub wartość inna niż logiczna były traktowane jako zweryfikowane.
Ocena ryzyka
Atakujący może przejąć konto użytkownika, wykorzystując fałszywy adres e-mail lub niezweryfikowane roszczenie, co prowadzi do nieautoryzowanego dostępu do środowisk deweloperskich i potencjalnego wycieku danych.
Rekomendacja
Należy niezwłocznie zaktualizować Coder do wersji 2.29.7, 2.32.7, 2.33.8 lub 2.34.2. Jako tymczasowe obejście skonfiguruj dostawcę OIDC tak, aby wyłączyć samodzielną rejestrację lub wymagać weryfikacji e-maila przed wydaniem tokenów.
Oryginalny opis (angielski, źródło NVD)
Coder allows organizations to provision remote development environments via Terraform. Prior to versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2, two flaws in Coder's OIDC login chained into account takeover. Email-based user matching fell back to linking by email without checking for an existing link to a different IdP subject and the `email_verified` claim was only enforced when present as a boolean `false` so an absent or non-boolean claim was treated as verified. The fix in versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2 restricts the email fallback to first-time and legacy linking and defaults `email_verified` to false when the claim is absent or of an unexpected type. As a workaround, configure the OIDC provider to disallow self-registration or to require email verification before issuing tokens.