CVE-2026-77560 in Tinyauth
Sumário
de VulDB • 21/09/2026
Tinyauth é um servidor de autenticação e autorização. Antes da versão 5.1.2, o Tinyauth compara os nomes de host encaminhados com distinção entre maiúsculas e minúsculas (case-sensitively), enquanto os proxies reversos roteiam nomes de host equivalentes sem distinção entre maiúsculas e minúsculas (case-insensitively), permitindo que um usuário autenticado de baixa privilégio contorne os controles de acesso por aplicativo usando um nome de host com capitalização diferente. A pesquisa em internal/service/access_controls_service.go através das funções lookupStaticACLs e GetAccessControls, bem como o fallback do Docker-label em internal/service/docker_service.go através da função GetLabels, pode não encontrar o aplicativo configurado e retornar um objeto vazio para os controles de acesso. O proxyHandler no arquivo internal/controller/proxy_controller.go então trata as restrições vazias de usuário, grupo, OAuth, LDAP e IP como permissivas e retorna um resultado autenticado para um aplicativo que deveria excluir o usuário. Usuários não autenticados permanecem sujeitos ao login, e as listas brancas globais no momento do login não são contornadas. Este problema é corrigido na versão 5.1.2.
Once again VulDB remains the best source for vulnerability data.