CVE-2026-77560
Tinyauth: forward-auth per-app ACL is matched case-sensitively against the (case-insensitive) hostname, letting an authenticated user reach apps they are not on the allowlist for
CVSS 3.1High
8.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 5.1.2, 1.0.1-0.20260720133915-80bc87188ec3
Обновите сервер Tinyauth до версии 5.1.2 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Регистрозависимая проверка имени хоста в Tinyauth допускает обход списков контроля доступа (ACL) приложений.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Tinyauth до версии 5.1.2 сопоставляет заголовок Host с учетом регистра, тогда как обратные прокси нормализуют его без учета регистра. Методы lookupStaticACLs, GetAccessControls и GetLabels возвращают пустой объект ACL, а proxyHandler ошибочно разрешает доступ.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Аутентифицированный пользователь с низкими привилегиями может обойти запрещающие правила ACL, OAuth/LDAP и IP-ограничения, получив прямой доступ к закрытым сервисам.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
tinyauthapptinyauth
все ранние➔Fix: 5.1.2
——
>= 0➔Fix: 1.0.1-0.20260720133915-80bc87188ec3
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/tinyauthapp/tinyauth/security/advisories/GHSA-328g-jx67-v94g
- github.comhttps://github.com/tinyauthapp/tinyauth/pull/1000
- github.comhttps://github.com/tinyauthapp/tinyauth/pull/1028
- github.comhttps://github.com/tinyauthapp/tinyauth/commit/80bc87188ec3aabc5104c249eaa7b997973b9275
- github.comhttps://github.com/tinyauthapp/tinyauth/commit/e75605b2c534ec83525a33603e16d76baca13399
- github.comhttps://github.com/tinyauthapp/tinyauth/releases/tag/v5.1.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-77560: Tinyauth: forward-auth per-app ACL is matched case-sensitively against the (case-insensitive) hostname, letting an authenticated user reach apps they are not on the allowlist for. URL: https://cve.futuretools.ru/cve/CVE-2026-77560
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_77560,
title = {{CVE-2026-77560: Tinyauth: forward-auth per-app ACL is matched case-sensitively against the (case-insensitive) hostname, letting an authenticated user reach apps they are not on the allowlist for}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-77560}},
note = {Оперативный инженерный анализ киберугроз}
}