CVE-2026-97736: обход правил доступа в tinyauth из-за неякорного регулярного выражения
В tinyauth до версии 5.1.3 обнаружена уязвимость среднего уровня опасности (CVSS 5.4), позволяющая обойти правила доступа путём добавления строки разрешённого маршрута к запросу. Проблема вызвана некорректно составленным (неякорным) регулярным выражением. Затронуты все пользователи tinyauth версий ниже 5.1.3.
Подробности
Уязвимость затрагивает продукт tinyauth во всех версиях до 5.1.3 включительно. Причиной стал механизм проверки маршрутов на основе регулярного выражения, которое не было «заякорено» (unanchored regex). Из-за отсутствия якорей начала и конца строки проверка соответствия правилу выполняется не по полному пути запроса, а по любой его части. В результате злоумышленник может обойти ограничения доступа, просто добавив к запрашиваемому URL строку, совпадающую с разрешённым маршрутом. Иными словами, если в конфигурации разрешён, например, некоторый публичный путь, то атакующий, добавив эту строку к защищённому адресу, может заставить систему считать запрос допустимым и получить доступ к ресурсам, которые должны были быть закрыты. Тип уязвимости — обход правил авторизации/контроля доступа (CWE, связанный с некорректной проверкой входных данных через регулярные выражения). Поскольку уязвимость не требует аутентификации или особых привилегий и эксплуатируется удалённо через манипуляцию URL, она представляет практический интерес для атакующих, целящихся в защищённые эндпоинты приложений, использующих tinyauth в качестве прокси аутентификации.Что делать
Основная рекомендация — обновить tinyauth до версии 5.1.3 или более поздней, в которой проблема устранена. Обновление следует провести в приоритетном порядке, так как оно закрывает возможность обхода правил доступа без каких-либо дополнительных условий. Если немедленное обновление невозможно, стоит рассмотреть временные меры: — проверить конфигурацию правил доступа и убедиться, что регулярные выражения для разрешённых маршрутов составлены корректно и однозначно; — по возможности ограничить доступ к защищённым эндпоинтам на уровне обратного прокси или межсетевого экрана, чтобы снизить поверхность атаки; — усилить мониторинг и логирование запросов к защищённым маршрутам, чтобы своевременно выявлять попытки эксплуатации. Важно понимать, что перечисленные меры являются обходными и не заменяют установку исправленной версии. Итог: CVE-2026-97736 — умеренно опасная, но легко эксплуатируемая уязвимость обхода правил доступа в tinyauth. Единственное надёжное решение — обновление до версии 5.1.3 и выше. Всем, кто использует tinyauth для разграничения доступа, рекомендуется провести обновление без промедления.Источник: CVE Project (cvelistV5)