CVE-2026-77560 in Tinyauth
الملخص
بحسب VulDB • 21/09/2026
Tinyauth هو خادم للمصادقة والتفويض. قبل الإصدار 5.1.2، يقارن Tinyauth أسماء النطاقات الممررة بحساسية لحالة الأحرف (case-sensitively)، بينما تقوم الوكيل العكسي (reverse proxies) بتوجيه أسماء النطاقات المكافئة دون حساسية لحالة الأحرف (case-insensitively)، مما يسمح لمستخدم منخفض الصلاحيات والمصادق عليه بالتجاوز عبر استخدام اسم نطاق بحالة أحرف مختلفة. يمكن أن يفشل البحث في `internal/service/access_controls_service.go` من خلال الدالتين `lookupStaticACLs` و `GetAccessControls`، بالإضافة إلى آلية الاحتياط (fallback) الخاصة بعلامات Docker في `internal/service/docker_service.go` من خلال `GetLabels`، في العثور على التطبيق المُعدّ مسبقاً ويعيد كائن تحكم وصول فارغًا. بعد ذلك يعامل معالج الوكيل (`proxyHandler`) الموجود في `internal/controller/proxy_controller.go` القيود الفارغة الخاصة بالمستخدم والمجموعة و OAuth و LDAP وعناوين IP كمسمحة (permissive)، ويُرجع نتيجة مصادقة ناجحة لتطبيق كان من المفترض أن يستبعد هذا المستخدم. يظل المستخدمون غير المصادق عليهم خاضعين لعمليات تسجيل الدخول، ولا يمكن تجاوز قوائم السماح العالمية الخاصة بوقت تسجيل الدخول. تم إصلاح هذه المشكلة في الإصدار 5.1.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.