PT-2026-129160
CVE-2026-118687
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Coder الإصدارات السابقة لـ 2.29.21
Coder الإصدارات من 2.30.0 إلى 2.34.11
Coder الإصدارات من 2.35.0 إلى 2.35.8
Coder الإصدارات من 2.36.0 إلى 2.36.6
Coder الإصدارات من 2.37.0 إلى 2.37.3
Description
يؤدي عدم التحقق من مطالبة الجمهور لرموز JWT (JSON Web Tokens) الخاصة بهوية مثيل GCE عند نقطة النهاية 'POST /api/v2/workspaceagents/google-instance-identity' إلى تمكين المهاجم من إعادة استخدام رمز هوية
format=full غير منتهي الصلاحية تم إصداره لطرف ثالث معتمد. يمكن أن يؤدي ذلك إلى الحصول على رمز جلسة وكيل مساحة العمل بشكل غير مصرح به، والذي يظل صالحًا حتى عملية البناء التالية لمساحة العمل.Recommendations
التحديث إلى الإصدار 2.29.21 أو أحدث.
التحديث إلى الإصدار 2.34.12 أو أحدث.
التحديث إلى الإصدار 2.35.9 أو أحدث.
التحديث إلى الإصدار 2.36.7 أو أحدث.
التحديث إلى الإصدار 2.37.4 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾