CVE-2026-87004
Tugtainer: утверждения id_token OIDC принимаются без проверки подписи/аудитории/срока действия
- Опубликовано
- 30 сент. 2026 г.
- Обновлено
- 30 сент. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 10 сент. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 25,6 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Tugtainer — это self-hosted приложение для автоматизации обновлений Docker-контейнеров. До версии 1.31.3, когда завершается процесс входа через OIDC, backend/modules/auth/providers/auth_oidc_provider.py декодирует id_token, возвращённый token endpoint провайдера идентификации, используя jose.jwt.get_unverified_claims() вместо jwt.decode(). Это полностью пропускает проверку подписи, валидацию audience (aud), валидацию issuer (iss) и проверку срока действия (exp). Извлечённые claims (email/sub/preferred_username) затем напрямую используются как user_id для создаваемой сессии Tugtainer. Эта проблема исправлена в версии 1.31.3.
Источники
PoC — OIDC id_token принимается без проверки подписи/audience/срока действия в Tugtainer (GHSA-crjc-6vc7-xrfh, CVE-2026-87004, CVSS 8.1).
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.