CVE-2026-77560 in Tinyauth
Сводка
по VulDB • 21.09.2026
Tinyauth — это сервер аутентификации и авторизации. До версии 5.1.2 Tinyauth выполняет сравнение пересылаемых имен хостов с учетом регистра, в то время как обратные прокси-серверы маршрутизируют эквивалентные имена хостов без учета регистра, что позволяет аутентифицированному пользователю с низкими привилегиями обойти контроль доступа на уровне приложений, используя имя хоста с другим регистром. Поиск в файле internal/service/access_controls_service.go через функции lookupStaticACLs и GetAccessControls, а также резервный механизм Docker-меток в internal/service/docker_service.go через функцию GetLabels может не найти настроенное приложение и вернуть пустой объект контроля доступа. Затем proxyHandler из файла internal/controller/proxy_controller.go рассматривает пустые ограничения для пользователя, группы, OAuth, LDAP и IP как разрешающие (перmissive) и возвращает результат аутентификации для приложения, которое должно блокировать доступ пользователю. Неавторизованные пользователи по-прежнему подлежат процедуре входа в систему, а глобальные списки разрешения при входе не обходятся. Эта проблема исправлена в версии 5.1.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.