【漏洞预警】Tinyauth forward-auth 按主机名 ACL 大小写敏感导致越权（CVE-2026-77560）

发布日期： 2026 年 9 月 22 日
风险等级： 高危（High）
漏洞编号： CVE-2026-77560
CVSS： 约 8.1（High）
披露时间： 约 2026 年 9 月 22 日 01:18（CST；NVD 收录）
相关公告： NVD · CVE-2026-77560 · GHSA-328g-jx67-v94g · Release v5.1.2

---

一、漏洞概述

Tinyauth 是轻量级认证 / 授权服务，常以官方容器镜像部署，作为 Traefik / Nginx / Caddy 等反向代理前的 forward-auth 中间件，并支持按应用配置 users / groups / OAuth / LDAP / IP 等访问控制。

经官方确认，在 5.1.2 之前：

1. 按 转发主机名 匹配 per-app ACL 时使用 大小写敏感 比较；
2. 反向代理侧主机名路由通常按 大小写不敏感 处理；
3. 已登录 的低权限用户可通过 改写主机名大小写，使 ACL 查找失败；
4. 代码在查找失败时回落到 空 App，行为为 fail-open，从而 绕过 该应用本应生效的 users / groups / OAuth / LDAP / IP 等限制。

重要说明： 攻击者需 已通过 Tinyauth 登录（任意已认证用户即可尝试）；未登录 用户仍须先过登录。暴露面主要在「同一 Tinyauth 实例后挂多应用，且启用了按应用允许列表」的场景。机密性 / 完整性影响高（可访问本应被挡在 per-app ACL 外的应用）。

---

二、漏洞状态

统计截止： 2026 年 9 月 22 日（UTC+8）

---

三、影响范围

1. 版本与发行形态

2. 典型受影响场景

• 一套 Tinyauth 为多个后端应用做 forward-auth
• 为部分应用配置了 按应用的用户 / 组 / OAuth / LDAP / IP 限制
• 用户已能登录 Tinyauth（低权限账号即可尝试改 Host 大小写）

风险边界提示：

• 仅单应用、或未启用 per-app 允许列表时，本 CVE 的直接收益较低，仍建议升级。
• 修复后请确认 ACL 主机名比较与代理侧路由行为一致（大小写不敏感匹配等，以发行说明为准）。

---

四、修复建议

1. 升级至 Tinyauth ≥ v5.1.2（推荐）

官方容器镜像（GHCR）： ghcr.io/tinyauthapp/tinyauth
坐标示例：ghcr.io/tinyauthapp/tinyauth:v5.1.2。官方镜像在 GHCR，无 Docker Hub 官方同名仓库作为本公告修复路径。

轩辕镜像： ghcr.io/tinyauthapp/tinyauth

拉取示例（将 *** 换成你在 个人中心 的 GHCR 专属域前缀；固定 ≥ v5.1.2）：

bash
docker pull ***-ghcr.xuanyuan.run/tinyauthapp/tinyauth:v5.1.2

若使用 Compose，将 image: 改为上述坐标与安全 tag 后执行：

bash
docker compose pull
docker compose up -d

2. 版本自查

bash
# 以实际容器 / 二进制入口为准
docker exec <tinyauth-container> tinyauth --version
# 或查看正在运行的镜像 tag
docker inspect --format '{{.Config.Image}}' <tinyauth-container>

确认版本 ≥ 5.1.2 后滚动重启 Tinyauth，并抽测：对受保护应用改用不同大小写 Host，确认 ACL 不再 fail-open。

---

五、临时缓解措施

在无法立即完成升级前，建议：

1. 收紧可登录账号
   减少低权限账号数量；对异常 Host 大小写变体访问做日志告警。

2. 代理层规范化 Host
   在反向代理统一将 Host 规范为小写再转发（可降低部分利用空间，不能替代 升级，且需确认不破坏既有 TLS / 路由）。

3. 临时合并高敏应用的暴露策略
   对必须隔离的应用考虑独立认证入口或网络隔离（运维成本较高，仅作过渡）。

4. 仍优先安排正式升级
   根因在 ACL 匹配与 fail-open 回落；临时措施无法从产品逻辑上彻底关闭该路径。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是 镜像加速与拉取服务，不替代 你对 Tinyauth 版本的升级与 per-app ACL 复核。

• 可通过轩辕加速拉取 GHCR 上的 tinyauthapp/tinyauth，站内页：ghcr.io/tinyauthapp/tinyauth；命令形如 ***-ghcr.xuanyuan.run/tinyauthapp/tinyauth:v5.1.2（*** 为你的专属前缀）。
• 加速拉取 不会自动变成安全版本，须固定 ≥ v5.1.2。
• GHCR 专属域配置见：GHCR 拉取教程；排错见：镜像拉取 FAQ。

---

七、参考链接

• NVD：CVE-2026-77560
• GitHub Security Advisory：GHSA-328g-jx67-v94g
• 修复版本 Release：v5.1.2
• 轩辕站内镜像页：ghcr.io/tinyauthapp/tinyauth
• 项目主页：https://github.com/tinyauthapp/tinyauth

---

轩辕镜像安全团队
2026 年 9 月 22 日