CVE-2026-65655
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Gdy uwierzytelnianie OAuth jest włączone, a TLS od strony przeglądarki kończy się na odwrotnym proxy, które przekazuje wywołanie zwrotne do Temporal UI Server przez HTTP, dotknięte wersje wyprowadzają atrybuty Secure ciasteczek uwierzytelniających z połączenia proxy-serwer. Temporal UI Server może zatem wydawać ciasteczka tokenów dostępu i odświeżania bez flagi Secure, nawet jeśli przeglądarka zakończyła logowanie przez HTTPS.
Ocena ryzyka
Ofiara odwiedzająca treści kontrolowane przez atakującego może ujawnić poświadczenia, jeśli atakujący może również przekierować ruch dla nazwy hosta UI, uniemożliwić połączenie HTTPS, serwować hostname przez HTTP i odczytać późniejsze żądanie plaintext. Skuteczny HSTS lub ponowne szyfrowanie TLS między proxy a serwerem zapobiega ujawnieniu.
Rekomendacja
Zaktualizuj Temporal UI Server do wersji, która poprawnie ustawia atrybut Secure na podstawie połączenia przeglądarki, lub skonfiguruj ponowne szyfrowanie TLS między proxy a serwerem.
Oryginalny opis (angielski, źródło NVD)
When OAuth authentication is enabled and browser-facing TLS terminates at a reverse proxy that forwards the callback to Temporal UI Server over HTTP, affected versions derive authentication-cookie Secure attributes from the proxy-to-server connection. Temporal UI Server can therefore issue access-token cookies, and refresh-token cookies when provided by the identity provider, without Secure even though the browser completed login over HTTPS. A victim who visits attacker-controlled content while a credential remains live may expose that credential only if the attacker can also steer traffic for the UI hostname, prevent the browser's HTTPS connection from succeeding, serve the hostname over HTTP, and read a later same-site plaintext request. A malicious website alone cannot read the cookie, and passive observation of a successful TLS connection is insufficient. Effective HSTS, a blocking HTTPS-only warning, or TLS re-encryption between the proxy and Temporal UI Server prevents the demonstrated disclosure path. A recovered credential may be replayed within the victim's assigned permissions. Refresh-token replay additionally depends on the identity provider's issuance, expiry, rotation, and reuse-detection behavior.