CVE-2026-126404

Nome do Software Vulnerável e Versões Afetadas Coder versões 2.28.0 até 2.29.23 Coder versões 2.30.0 até 2.34.15 Coder versões 2.35.0 até 2.36.10 Coder versões 2.37.0 até 2.37.7 Coder versões 2.38.0 até 2.38.3

Description Restrições insuficientes na criação de novas chaves de API permitem que uma chave de API com escopo ou um token OAuth2 com permissões de criação de chaves ignore escopos, listas de permissão e limites de expiração. Ao chamar o endpoint 'POST /api/v2/users/{user}/keys/tokens', um invasor pode gerar chaves com maior tempo de vida e permissões coder:all, obtendo os privilégios totais do usuário.

Recommendations Atualizar Coder versões 2.28.0 até 2.29.23 para 2.29.24. Atualizar Coder versões 2.30.0 até 2.34.15 para 2.34.16. Atualizar Coder versões 2.35.0 até 2.36.10 para 2.36.11. Atualizar Coder versões 2.37.0 até 2.37.7 para 2.37.8. Atualizar Coder versões 2.38.0 até 2.38.3 para 2.38.4.