CVE-2026-55076 in Coder
요약
\~에 의해 VulDB • 2026. 07. 08.
Coder은 Terraform을 통해 원격 개발 환경을 프로비저닝할 수 있도록 지원합니다. 버전 2.29.7, 2.32.7, 2.33.8 및 2.34.2 이전의 Coder에서 OIDC 콜백은 `email_verified`를 직접 Go `bool` 타입 어서션으로 확인했습니다. IdP가 해당 클레임을 불리언이 아닌 값(예: 문자열 `"false"`)으로 반환하거나 누락한 경우, 어서션이 실패 시 허용(open)되어 이메일이 검증된 것으로 처리되었습니다. 무조건적인 이메일 기반 계정 폴백과 결합되면 계정이 탈취될 수 있었습니다. 버전 2.29.7, 2.32.7, 2.33.8 및 2.34.2의 수정 사항에서는 `email_verified`를 bool, 문자열 및 숫자 타입 모두에 대해 강제 변환(fail-closed)하며, 일치하는 사용자가 이미 다른 연결된 IdP subject를 가지고 있는 경우 이메일 폴백을 차단합니다. 우회 조치로 IdP가 `email_verified`를 네이티브 JSON 불리언으로 반환하도록 보장해야 합니다. 이메일 폴백 링크 문제는 구성 가능한 우회 조치가 없으므로 업그레이드가 필요합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.