CVE-2026-87004
Tugtainer: i claim di id_token OIDC vengono accettati senza verifica di firma/audience/scadenza
- Pubblicato
- 30 set 2026
- Aggiornato
- 30 set 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 10 set 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 25,6%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Tugtainer è un'app self-hosted per automatizzare gli aggiornamenti dei container Docker. Prima della versione 1.31.3, quando il flusso di login OIDC viene completato, backend/modules/auth/providers/auth_oidc_provider.py decodifica l'id_token restituito dall'endpoint token del provider di identità utilizzando jose.jwt.get_unverified_claims() invece di jwt.decode(). Questo salta completamente la verifica della firma, la validazione dell'audience (aud), la validazione dell'issuer (iss) e il controllo della scadenza (exp). Le claims estratte (email/sub/preferred_username) vengono poi utilizzate direttamente come user_id per la sessione Tugtainer risultante. Questo problema è stato corretto nella versione 1.31.3.
Fonti
PoC — id_token OIDC accettato senza verifica di firma/audience/scadenza in Tugtainer (GHSA-crjc-6vc7-xrfh, CVE-2026-87004, CVSS 8.1).
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.