CVE

CVE-2026-126308: Coder expone claves API de administrador a través de aplicaciones de sub-agente maliciosas

¿Qué es y cómo funciona?

El dashboard web de Coder reemplaza el marcador de posición $SESSION_TOKEN en URLs de aplicaciones externas con una clave API de acceso completo, sin verificar si la aplicación pertenece a un sub-agente legítimo. Un atacante con acceso a un workspace puede registrar una aplicación de sub-agente disfrazada con una URL de protocolo personalizado. Cuando el propietario hace clic en el enlace, su clave API se envía a un destino controlado por el atacante.

Versiones afectadas

  • Coder 2.24.0 hasta 2.29.22
  • 2.30.0 hasta 2.34.13
  • 2.35.0 hasta 2.36.8
  • 2.37.0 hasta 2.37.5
  • 2.38.0 hasta 2.38.1

Impacto y probabilidad de explotación

La vulnerabilidad tiene un CVSS de 7.7 (alto) y clasifica como CWE-201 (Exposición de información sensible a un actor no autorizado). El EPSS indica un 0.3% de probabilidad de explotación real en los próximos 30 días (percentil 24%). Shodan no reporta hosts expuestos actualmente con esta vulnerabilidad detectada.

¿Qué hacer?

Actualiza inmediatamente a las versiones parcheadas: 2.29.23, 2.34.14, 2.36.9, 2.37.6 o 2.38.2.

CVECVE-2026-126308
SeveridadHIGH
CVSS
7.7 / 10
EPSS
0.3% en 30 días (percentil 24)
CWECWE-201
Exposición (Shodan)sin hosts expuestos detectados actualmente

Producto afectado

The web dashboard in Coder 2.24.0 – 2.29.23

Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).

Referencias

Fuente: NVD