CVE-2026-87004
Tugtainer: قبول مطالبات OIDC id_token دون التحقق من التوقيع/الجمهور/انتهاء الصلاحية
- تم النشر
- 30/09/2026
- محدث
- 30/09/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 10/09/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 25.6%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Tugtainer هو تطبيق مستضاف ذاتيًا لأتمتة تحديثات حاويات Docker. قبل الإصدار 1.31.3، عند اكتمال تدفق تسجيل الدخول عبر OIDC، يقوم الملف backend/modules/auth/providers/auth_oidc_provider.py بفك ترميز id_token الذي يُرجعه نقطة نهاية الرمز المميز لمزوّد الهوية باستخدام jose.jwt.get_unverified_claims() بدلاً من jwt.decode(). يؤدي هذا إلى تخطي التحقق من التوقيع، والتحقق من الجمهور (aud)، والتحقق من المُصدر (iss)، وفحص انتهاء الصلاحية (exp) بالكامل. ثم تُستخدم المطالبات المستخرجة (email/sub/preferred_username) مباشرةً كـ user_id لجلسة Tugtainer الناتجة. تم إصلاح هذه المشكلة في الإصدار 1.31.3.
المصادر
PoC — يتم قبول OIDC id_token دون التحقق من التوقيع/الجمهور/انتهاء الصلاحية في Tugtainer (GHSA-crjc-6vc7-xrfh، CVE-2026-87004، CVSS 8.1).
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.