CVE-2026-77560 in Tinyauth
Zusammenfassung
von VulDB • 21.09.2026
Tinyauth ist ein Authentifizierungs- und Autorisierungsserver. Vor Version 5.1.2 vergleicht Tinyauth weitergeleitete Hostnamen case-sensitiv, während Reverse Proxies äquivalente Hostnamen case-insensiv routen, was einem authentifizierten Benutzer mit geringen Berechtigungen ermöglicht, die pro-Anwendung zugewiesenen Zugriffskontrollen unter Umgehung eines anders geschriebenen Hostnamens zu umgehen. Die Suche in internal/service/access_controls_service.go über lookupStaticACLs und GetAccessControls sowie der Docker-Label-Fallback in internal/service/docker_service.go über GetLabels können die konfigurierte Anwendung verpassen und ein leeres Zugriffskontrollobjekt zurückgeben. Der proxyHandler von internal/controller/proxy_controller.go behandelt dann die leeren Benutzer-, Gruppen-, OAuth-, LDAP- und IP-Einschränkungen als permissiv und gibt ein authentifiziertes Ergebnis für eine Anwendung zurück, die den Benutzer eigentlich ausschließen sollte. Nicht-authentifizierte Benutzer unterliegen weiterhin der Anmeldung, und globale Allowlists zur Anmeldezeit werden nicht umgangen. Dieses Problem ist in Version 5.1.2 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.