CVE-2026-77560 in Tinyauth
Tóm tắt
Bởi VulDB • 21/09/2026
Tinyauth là một máy chủ xác thực và ủy quyền. Trước phiên bản 5.1.2, Tinyauth so sánh các tên miền được chuyển tiếp (forwarded hostnames) có phân biệt chữ hoa/thường trong khi các reverse proxy định tuyến các hostname tương đương không phân biệt chữ hoa/thường, cho phép người dùng đã đăng nhập với đặc quyền thấp bypass kiểm soát truy cập theo ứng dụng bằng cách sử dụng một hostname khác về mặt ký tự. Việc tra cứu trong internal/service/access_controls_service.go thông qua lookupStaticACLs và GetAccessControls, cũng như cơ chế fallback dựa trên Docker-label trong internal/service/docker_service.go thông qua GetLabels, có thể bỏ sót ứng dụng đã được cấu hình và trả về một đối tượng kiểm soát truy cập rỗng (empty access-control object). Sau đó, proxyHandler trong internal/controller/proxy_controller.go coi các hạn chế trống cho người dùng, nhóm, OAuth, LDAP và IP là permissive (cho phép) và trả về kết quả xác thực thành công cho một ứng dụng vốn dĩ phải loại trừ người dùng này. Người dùng chưa đăng nhập vẫn bị yêu cầu đăng nhập, và danh sách trắng (allowlists) ở cấp độ toàn cục không thể bypass được. Vấn đề này đã được sửa trong phiên bản 5.1.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.