CVE-2026-65655

Nome do Software Vulnerável e Versões Afetadas Temporal UI Server (versões afetadas não especificadas)

Descrição Quando a autenticação OAuth está habilitada e o TLS termina em um proxy reverso que encaminha o callback para o servidor via HTTP, o sistema deriva incorretamente os atributos Secure dos cookies de autenticação a partir da conexão proxy-servidor. Isso permite que o servidor emita cookies access-token e refresh-token sem o atributo Secure, mesmo que o login do navegador tenha ocorrido via HTTPS. Um invasor que consiga direcionar o tráfego para o hostname da UI, impedir conexões HTTPS e servir o hostname via HTTP pode expor essas credenciais por meio de uma requisição de texto simples no mesmo site. Credenciais recuperadas podem ser reproduzidas dentro das permissões da vítima.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Implemente HSTS (HTTP Strict Transport Security) eficaz, um aviso de bloqueio apenas para HTTPS ou habilite a re-criptografia TLS entre o proxy reverso e o Temporal UI Server.