CVE-2026-55075
Publiée le 2026-07-07 · Dernière modification le 2026-07-08
Les installations de Coder utilisant OIDC pour l'authentification sont vulnérables aux prises de contrôle de comptes. Un attaquant non authentifié disposant d'un accès réseau peut détourner le compte d'un autre utilisateur en manipulant les revendications (claims) OIDC afin de contourner la vérification de l'e-mail et la correspondance d'identité. Bien que l'attaque soit complexe à exécuter, elle ne nécessite aucune interaction de la part de la victime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Coder allows organizations to provision remote development environments via Terraform. Prior to versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2, two flaws in Coder's OIDC login chained into account takeover. Email-based user matching fell back to linking by email without checking for an existing link to a different IdP subject and the `email_verified` claim was only enforced when present as a boolean `false` so an absent or non-boolean claim was treated as verified. The fix in versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2 restricts the email fallback to first-time and legacy linking and defaults `email_verified` to false when the claim is absent or of an unexpected type. As a workaround, configure the OIDC provider to disallow self-registration or to require email verification before issuing tokens.