cve.now·· 2 小时前推荐指数49
CVE-2026-126308：Coder 2.38.0 before 2.38.2 子代理外部应用会话令牌泄露
CVE-2026-126308: Coder 2.38.0 before 2.38.2 Session Token Leak via Sub-Agent External Apps
AI 导读
Coder 2.38.0 before 2.38.2 等多个版本的 web 仪表盘在外部应用 URL 中将 $SESSION_TOKEN 占位符替换为全权限 API key，且不校验应用是否属于子代理，导致工作区代码可注册伪装子代理应用，诱使所有者点击后将 API key 发送至攻击者指定地址。
来源：cve.now · cve.now