Coder 子代理外部应用泄露全权限 API key
热点事件持续更新
Coder 子代理外部应用泄露全权限 API key
1 篇报道1 个报道来源2 小时前更新
先了解这件事
AI 综述
Coder 多个版本的 web 仪表盘在外部应用 URL 中把 $SESSION_TOKEN 占位符替换为全权限 API key，且不校验该应用是否属于子代理，导致工作区代码可注册伪装的子代理应用，诱使所有者点击后将 API key 发送至攻击者指定地址。 受影响版本包括 2.24.0 before 2.29.23、2.30.0 before 2.34.14、2.35.0 before 2.36.9、2.37.0 before 2.37.6 和 2.38.0 before 2.38.2，官方建议升级至对应修复版本（2.38.2、2.37.6、2.36.9、2.34.14、2.29.23 等）。是否需要非默认功能或设置尚不明确，需查阅公告。 该漏洞未列入 CISA 已知被利用漏洞目录，CISA 的 SSVC 评估也未将其标记为正在被利用。
AI 根据报道生成 · 1 小时前更新
最新进展11月13日 17:45
CVE-2026-126308：Coder 2.38.0 before 2.38.2 子代理外部应用会话令牌泄露报道时间线
沿着报道，了解事件的不同侧面。
11月13日
- cve.nowCVE-2026-126308：Coder 2.38.0 before 2.38.2 子代理外部应用会话令牌泄露
Coder 2.38.0 before 2.38.2 等多个版本的 web 仪表盘在外部应用 URL 中将 $SESSION_TOKEN 占位符替换为全权限 API key，且不校验应用是否属于子代理，导致工作区代码可注册伪装子代理应用，诱使所有者点击后将 API key 发送至攻击者指定地址。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。