Ehaby

O painel web substitui o marcador `$SESSION TOKEN` em URLs de aplicativos externos por uma chave de API de acesso total sem verificar se o aplicativo pertence a um subagente. Isso permite que códigos executados em um espaço de trabalho registrem um aplicativo de subagente disfarçado com uma URL de protocolo personalizado, fazendo com que o clique do proprietário envie sua chave de API para um destino escolhido por um invasor.

Restrições insuficientes na criação de novas chaves de API permitem que uma chave de API com escopo ou um token OAuth2 com permissões de criação de chaves ignore escopos, listas de permissão e limites de expiração. Ao chamar o endpoint 'POST /api/v2/users/{user}/keys/tokens', um invasor pode gerar chaves com maior tempo de vida e permissões `coder:all`, obtendo os privilégios totais do usuário.