Coder'da hostname doğrulama hatası saldırganların yetkisiz erişimine yol açabilir
Yapay zeka üretimi19.10.2026
- CVE
- CVE-2026-111927
- Ciddiyet
- Yüksek (CVSS 7.7)
- Firma / ürün
- - / -
Özet
Coder'ın belirli sürümlerinde hostname doğrulama hatası bulunuyor; saldırganlar sahte bir alan adı üzerinden kurbanın oturum anahtarını ele geçirerek çalışma alanı uygulamalarına erişebiliyor.
Ayrıntılar
NVD kaydına göre, Coder 2.29.20 öncesi, 2.33.0-2.33.12, 2.34.0-2.34.8 ve 2.35.0-2.35.4 sürümlerinde GetWorkspaceProxyByHostname fonksiyonunda hostname doğrulaması eksik. SIMILAR TO deseni önek eşleşmesi yaptığı için, bir çalışma alanı proxy URL'sinin önekini oluşturan herhangi bir alan adı güvenilir kabul ediliyor. Bu durumu kullanan bir saldırgan, kurbanı özel bir /api/v2/applications/auth-redirect bağlantısına yönlendirerek uygulama_connect API anahtarını çalabilir ve bu anahtarı yeniden oynatarak kurbanın çalışma alanı uygulamalarına erişim sağlayabilir. Açığın ciddiyeti yüksek (cvss puanı 7.7).
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne erişimi mümkün olduğunca sınırlı tutun.