CVE-2026-126308

Nome do Software Vulnerável e Versões Afetadas Coder versões 2.24.0 até 2.29.22 Coder versões 2.30.0 até 2.34.13 Coder versões 2.35.0 até 2.36.8 Coder versões 2.37.0 até 2.37.5 Coder versões 2.38.0 até 2.38.1

Description O painel web substitui o marcador $SESSION TOKEN em URLs de aplicativos externos por uma chave de API de acesso total sem verificar se o aplicativo pertence a um subagente. Isso permite que códigos executados em um espaço de trabalho registrem um aplicativo de subagente disfarçado com uma URL de protocolo personalizado, fazendo com que o clique do proprietário envie sua chave de API para um destino escolhido por um invasor.

Recommendations Atualizar para a versão 2.29.23 ou posterior. Atualizar para a versão 2.34.14 ou posterior. Atualizar para a versão 2.36.9 ou posterior. Atualizar para a versão 2.37.6 ou posterior. Atualizar para a versão 2.38.2 ou posterior.