Apa yang terjadi
Diverifikasi oleh NVD REST (dipublikasikan 2026-10-17, CVSS 3.3 rendah, CWE-200). Titik akhir HTTP debug lokal yang tidak terautentikasi mengekspos manifes agen termasuk rahasia lingkungan yang disediakan template ke prinsipal ruang kerja-sama mana pun.
Mengapa penting
Coder adalah platform pengembangan-cloud/ruang-kerja-agen self-hosted yang populer; pengembangan AI dan run agen adalah kasus penggunaan utama. Pengguna ruang kerja dengan hak istimewa lebih rendah yang meningkat untuk membaca kunci cloud dan token registry melalui manifes debug agen melanggar batas kepercayaan antara penyewa bersama ruang kerja dev AI.
Vektor serangan
Pengguna atau proses dengan hak istimewa lebih rendah di ruang kerja yang sama meminta titik akhir localhost:2113 /debug/manifest yang tidak terautentikasi dari agen Coder untuk membaca nilai variabel lingkungan (kredensial) yang disuntikkan template ke ruang kerja.
Sistem yang terdampak
Coder (github.com/coder/coder) 2.10.0 hingga < 2.34.8
Mitigasi
Tingkatkan ke Coder 2.34.8 (advisory GitHub GHSA-73wg-wxvv-9r4j; advisory VulnCheck). Batasi siapa yang dapat berbagi ruang kerja sampai ditambal.