CVE-2026-87004

요약

Tugtainer는 Docker 컨테이너의 자동 업데이트를 위한 자체 호스팅 앱입니다. 버전 1.31.3 이전에는 OIDC 로그인 흐름이 완료될 때 backend/modules/auth/providers/auth_oidc_provider.py가 ID 공급자의 토큰 엔드포인트에서 반환된 id_token을 jwt.decode() 대신 jose.jwt.get_unverified_claims()를 사용하여 디코딩합니다. 이는 서명 검증, 대상(aud) 검증, 발급자(iss) 검증, 만료(exp) 확인을 전부 건너뜁니다. 추출된 클레임(email/sub/preferred_username)은 그런 다음 결과 Tugtainer 세션의 user_id로 직접 사용됩니다. 이 문제는 버전 1.31.3에서 패치되었습니다.

소스

• tugtainer-PoCPoC

  PoC — Tugtainer에서 서명/대상/만료 검사 없이 OIDC id_token이 허용됨 (GHSA-crjc-6vc7-xrfh, CVE-2026-87004, CVSS 8.1).