Heimdall Security Logo

CVE-2026-55075

Vulnérabilité élevée dans coder (coder)

CVSS 7.4 · Élevée
EPSS 0.5%
coder•coder•Versions : >= 2.33.0, < 2.33.8, < 2.29.17, >= 2.34.0, < 2.34.2, >= 2.30.0, < 2.32.7

Description

Coder allows organizations to provision remote development environments via Terraform. Prior to versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2, two flaws in Coder's OIDC login chained into account takeover. Email-based user matching fell back to linking by email without checking for an existing link to a different IdP subject and the `email_verified` claim was only enforced when present as a boolean `false` so an absent or non-boolean claim was treated as verified. The fix in versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2 restricts the email fallback to first-time and legacy linking and defaults `email_verified` to false when the claim is absent or of an unexpected type. As a workaround, configure the OIDC provider to disallow self-registration or to require email verification before issuing tokens.

Gravité et risque d'exploitation

CVE-2026-55075 obtient un score CVSS de 7.4/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.48 %, ce qui la place devant 40.0 % des CVE référencées.

Que faire ?

  • Vérifiez si coder (versions >= 2.33.0, < 2.33.8, < 2.29.17, >= 2.34.0, < 2.34.2, >= 2.30.0, < 2.32.7) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE