CVE-2026-77560 in Tinyauth
요약
\~에 의해 VulDB • 2026. 09. 21.
Tinyauth는 인증 및 권한 부여 서버입니다. 버전 5.1.2 이전의 Tinyauth는 전달된 호스트명을 대소문자를 구분하여 비교하는 반면, 역방향 프록시는 동일한 호스트명을 대소문자를 구분하지 않고 라우팅하므로, 인증된 저권한 사용자가 다른 경우의 호스트명을 사용하여 앱별 접근 제어 우회가 가능합니다. internal/service/access_controls_service.go 내 lookupStaticACLs 및 GetAccessControls를 통한 조회와, internal/service/docker_service.go 내 GetLabels를 통한 Docker-label 폴백은 구성된 앱을 누락하고 빈(access-control) 객체를 반환할 수 있습니다. 이어지는 internal/controller/proxy_controller.go의 proxyHandler는 이러한 빈 사용자, 그룹, OAuth, LDAP 및 IP 제한을 허용적으로 처리하여, 해당 사용자를 제외해야 하는 앱에 대해 인증된 결과를 반환합니다. 미인증 사용자는 여전히 로그인 대상이며, 전역 로그인 시간 기반 허용 목록은 우회되지 않습니다. 이 문제는 버전 5.1.2에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.