CVE-2026-87004
Tugtainer : les revendications id_token OIDC acceptées sans vérification de signature/d'audience/d'expiration
- Publié
- 30 sept. 2026
- Mise à jour
- 30 sept. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 10 sept. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 25,6 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Tugtainer est une application auto-hébergée permettant d'automatiser les mises à jour des conteneurs Docker. Avant la version 1.31.3, lorsque le flux de connexion OIDC se termine, backend/modules/auth/providers/auth_oidc_provider.py décode l'id_token renvoyé par le point de terminaison de jeton du fournisseur d'identité à l'aide de jose.jwt.get_unverified_claims() au lieu de jwt.decode(). Cela contourne entièrement la vérification de signature, la validation de l'audience (aud), la validation de l'émetteur (iss) et la vérification de l'expiration (exp). Les revendications extraites (email/sub/preferred_username) sont ensuite utilisées directement comme user_id pour la session Tugtainer résultante. Ce problème a été corrigé dans la version 1.31.3.
Sources
PoC — id_token OIDC accepté sans vérification de signature/d’audience/d’expiration dans Tugtainer (GHSA-crjc-6vc7-xrfh, CVE-2026-87004, CVSS 8.1).
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.