Traefik 的 ForwardAuth,以及 v3.7 Ingress-NGINX 的 auth-url,对鉴权服务器共用连接池。鉴权端使用 NTLM 或 Negotiate 时,已为用户 A 完成的连接可能被复用到用户 B 的请求上(GHSA-hrpp-p4fc-wwf8,CVSS 4.0 为 7.0,暂无 CVE)。v2 请升到 v2.11.60 或更高,v3 请升到 v3.7.16 或更高。v3.7.15 与 v2.11.59 仍受影响。
Tinyauth 5.1.2 之前按转发主机名匹配 per-app ACL 时使用大小写敏感比较,而已登录低权限用户改主机名大小写可使 ACL 查找失败并回落到空 App(fail-open),从而绕过该应用的 users/groups/OAuth/LDAP/IP 限制(CVE-2026-77560,CVSS 约 8.1 High)。请升级至 ≥ v5.1.2(建议 v5.2.0 / v5)。