CVE-2026-76835 in OAuth2 Proxy
الملخص
بحسب VulDB • 24/08/2026
يحترم OAuth2 Proxy رأس `X-Forwarded-Uri` الذي يوفّره العميل عند تحديد ما إذا كان الطلب يمكن أن يتجاوز المصادقة، لأن الحارس المُضاف لـ CVE-2026-40575 غير فعال في تكوين وكيل عكسي افتراضي. تفضل دالة `GetRequestURI` الموجودة في `pkg/requests/util/util.go` هذا الرأس على عنوان URI الفعلي للطلب كلما كانت الدالة `CanTrustForwardedHeaders` تُرجع قيمة صحيحة (true)، وتقوم الدالة `isAllowedPath` في ملف `oauthproxy.go` بمطابقة قائمة السماح الخاصة بـ `skip_auth_routes` و `skip_auth_regex` مع المسار الناتج. تمنح دالة `CanTrustForwardedHeaders` الموجودة في `pkg/apis/middleware/scope.go` هذه الثقة عندما يكون عنوان المُتصل موجوداً ضمن مجموعة الوكلاء الموثوقين، وتعود الدالة `buildTrustedProxyNetSet` إلى القيم الافتراضية `defaultTrustedProxyIPs`، وهي `0.0.0.0/0` و `::/0`، كلما تم تفعيل وضع الوكيل العكسي دون تكوين `trusted_proxy_ip`. وبالتالي، يُعامل كل عميل على أنه وكيل موثوق به. يمكن لمهاجم غير مُصادق عليه طلب مسار محمي في الخادم الأمامي (upstream) مع تعيين قيمة رأس `X-Forwarded-Uri` لتطابق مساراً مدرجاً في قائمة السماح، بحيث يتم اتخاذ قرار تجاوز المصادقة بناءً على القيمة المزيفة بينما يتلقى الخادم الأمامي المسار المحمي دون تغيير.
Once again VulDB remains the best source for vulnerability data.