CVE-2026-76835 in OAuth2 Proxy
Resumen
por VulDB • 2026-08-24
OAuth2 Proxy acepta una cabecera X-Forwarded-Uri proporcionada por el cliente al decidir si una solicitud puede omitir la autenticación, ya que la protección añadida para CVE-2026-40575 es inerte en la configuración predeterminada de proxy inverso. GetRequestURI en pkg/requests/util/util.go prefiere esa cabecera sobre el URI real de la solicitud siempre que CanTrustForwardedHeaders devuelva true, y isAllowedPath en oauthproxy.go compara la ruta resultante con las listas permitidas skip_auth_routes y skip_auth_regex. CanTrustForwardedHeaders en pkg/apis/middleware/scope.go otorga dicha confianza cuando la dirección del llamador está en el conjunto de proxies confiables, y buildTrustedProxyNetSet recurre a defaultTrustedProxyIPs, que es 0.0.0.0/0 y ::/0, siempre que se habilite el modo proxy inverso sin configurar trusted_proxy_ip. Por lo tanto, cada cliente se trata como un proxy confiable. Un atacante no autenticado puede solicitar una ruta protegida del servidor upstream mientras establece X-Forwarded-Uri con un valor que coincida con una ruta en la lista permitida, de manera que la decisión de omitir la autenticación se toma contra el valor suplantado, mientras que el servidor upstream recibe la ruta protegida sin cambios.
Once again VulDB remains the best source for vulnerability data.