Apa yang terjadi
CVE-2026-118687 (CVSS 6.5, CWE-441): Coder sebelum 2.29.21, 2.30.0 < 2.34.12, 2.35.0 < 2.35.9, 2.36.0 < 2.36.7, dan 2.37.0 < 2.37.4 tidak memvalidasi klaim audience dari JWT identitas instance GCE di POST /api/v2/workspaceagents/google-instance-identity. Penyerang yang memperoleh token identitas format=full yang belum kedaluwarsa yang dicetak untuk pihak yang mengandalkan lain dapat memutarnya untuk mendapatkan token sesi agen workspace tersebut, yang tetap valid hingga build workspace berikutnya.
Mengapa penting
Coder menampung workspace developer/agen (termasuk lingkungan coding AI); audience yang tidak divalidasi memungkinkan token yang dicetak untuk layanan berbeda diputar untuk menyamar sebagai agen workspace dan mengambil alih sesi workspace tersebut, mengekspos kode dan kredensial di dalamnya.
Vektor serangan
Penyerang dengan JWT identitas instance GCE yang belum kedaluwarsa yang dicetak untuk pihak yang mengandalkan lain memutarnya ke endpoint untuk mendapatkan token sesi agen workspace target.
Sistem yang terdampak
Coder (github.com/coder/coder) sebelum 2.29.21 / 2.34.12 / 2.35.9 / 2.36.7 / 2.37.4.
Mitigasi
Tingkatkan Coder ke rilis yang diperbaiki (2.29.21 / 2.34.12 / 2.35.9 / 2.36.7 / 2.37.4) sesuai GHSA-24vh-q7rg-243w.