Heimdall Security Logo

CVE-2026-45796

Vulnérabilité moyenne dans coder (coder)

CVSS 6.5 · Moyenne
EPSS 0.4%
coder•coder•Versions : >= 2.29.0, < 2.29.13, < 2.24.5, >= 2.32.0-rc.0, < 2.32.2, >= 2.33.0-rc.0, < 2.33.3, >= 2.31.0, < 2.31.12, >= 2.30.0, < 2.30.8

Description

Coder allows organizations to provision remote development environments via Terraform. Versions prior tp 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2, and 2.33.3 are vulnerable to unauthenticated semi-blind Server-Side Request Forgery (SSRF) via the Azure instance identity endpoint (`POST /api/v2/workspaceagents/azure-instance-identity`). An external attacker can force the Coder server to issue HTTP GET requests to arbitrary internal or external hosts by submitting a crafted PKCS#7 signature. The server does not return the target's response body, but error messages in the API response reveal whether the target is reachable and what type of failure occurred. Versions 2.24.5, 2.29.13, 2.30.8, 2.31.12, 2.32.2, and 2.33.3 patch the issue. As a workaround, if the Azure identity-auth mechanism is not being used then restrict access to the corresponding endpoint (`/api/v2/workspaceagents/azure-instance-identity`) using ingress firewall and/or proxy ACLs.

Gravité et risque d'exploitation

CVE-2026-45796 obtient un score CVSS de 6.5/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.43 %, ce qui la place devant 35.8 % des CVE référencées.

Que faire ?

  • Vérifiez si coder (versions >= 2.29.0, < 2.29.13, < 2.24.5, >= 2.32.0-rc.0, < 2.32.2, >= 2.33.0-rc.0, < 2.33.3, >= 2.31.0, < 2.31.12, >= 2.30.0, < 2.30.8) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE