CVE-2026-118687

Nome do Software Vulnerável e Versões Afetadas Coder versões anteriores a 2.29.21 Coder versões 2.30.0 até 2.34.11 Coder versões 2.35.0 até 2.35.8 Coder versões 2.36.0 até 2.36.6 Coder versões 2.37.0 até 2.37.3

Description A falha na validação da reivindicação de audiência de JWTs (JSON Web Tokens) de identidade de instância do GCE no endpoint 'POST /api/v2/workspaceagents/google-instance-identity' permite que um invasor reutilize um token de identidade format=full não expirado emitido para outra parte confiante. Isso pode resultar na obtenção não autorizada de um token de sessão do agente do workspace, que permanece válido até a próxima compilação do workspace.

Recommendations Atualize para a versão 2.29.21 ou posterior. Atualize para a versão 2.34.12 ou posterior. Atualize para a versão 2.35.9 ou posterior. Atualize para a versão 2.36.7 ou posterior. Atualize para a versão 2.37.4 ou posterior.