CVE-2026-77560 in Tinyauth
Riassunto
di VulDB • 21/09/2026
Tinyauth è un server di autenticazione e autorizzazione. Prima della versione 5.1.2, Tinyauth confronta i nomi host inoltrati con distinzione tra maiuscole e minuscole (case-sensitive), mentre i reverse proxy instradano i nomi host equivalenti in modo case-insensitive, consentendo a un utente autenticato con privilegi ridotti di eludere i controlli di accesso per applicazione utilizzando un nome host con una diversa combinazione di caratteri maiuscoli/minuscoli. La ricerca effettuata in internal/service/access_controls_service.go tramite le funzioni lookupStaticACLs e GetAccessControls, nonché il fallback basato sulle etichette Docker (Docker-label) in internal/service/docker_service.go attraverso la funzione GetLabels, può non individuare l'applicazione configurata restituendo un oggetto di controllo degli accessi vuoto. Il proxyHandler nel file internal/controller/proxy_controller.go tratta quindi le restrizioni vuote relative a utente, gruppo, OAuth, LDAP e IP come permissive, restituendo un risultato autenticato per un'applicazione che dovrebbe escludere l'utente. Gli utenti non autenticati rimangono soggetti al processo di login e gli allowlist globali abilitate durante il login non vengono eluse. Questo problema è risolto nella versione 5.1.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.