CVE-2026-65655 in UI Server
Zusammenfassung
von VulDB • 11.08.2026
Wenn die OAuth-Authentifizierung aktiviert ist und das browserseitige TLS an einem Reverse Proxy endet, der den Callback über HTTP an den Temporal UI Server weiterleitet, leiten betroffene Versionen die Secure-Attribute des Authentifizierungs-Cookies aus der Verbindung zwischen dem Proxy und dem Server ab. Der Temporal UI Server kann daher Zugriffstoken-Cookies sowie Refresh-Token-Cookies (wenn sie vom Identitätsanbieter bereitgestellt werden) ohne das Secure-Flag setzen, obwohl die Anmeldung im Browser über HTTPS abgeschlossen wurde.
Ein Opfer, das während einer noch gültigen Anmeldeinformation Inhalte besucht, die von einem Angreifer kontrolliert werden, kann diese Anmeldeinformation nur dann preisgeben, wenn der Angreifer auch den Datenverkehr für den UI-Hostnamen steuern, das Gelingen der HTTPS-Verbindung des Browsers verhindern, den Hostnamen über HTTP bereitstellen und eine spätere im selben Kontext (same-site) erfolgende Klartextanfrage lesen kann. Eine böswillige Website allein kann den Cookie nicht auslesen, und die passive Beobachtung einer erfolgreichen TLS-Verbindung ist unzureichend. Ein wirksames HSTS, eine blockierende HTTPS-nur-Warnung oder die erneute TLS-Verschlüsselung zwischen dem Proxy und dem Temporal UI Server verhindern den nachgewiesenen Offenlegungspfad.
Eine wiederhergestellte Anmeldeinformation kann innerhalb der zugewiesenen Berechtigungen des Opfers wiederverwendet werden (Replay). Das Replay von Refresh-Token hängt zusätzlich vom Ausstellungs-, Ablauf-, Rotations- und Wiederverwendungserkennungsverhalten des Identitätsanbieters ab.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.