What is CVE-2026-49331?
CVE-2026-49331 is a vulnerability in openshift/oauth-proxy where on paths configured to bypass authentication (skip-auth-regex), client-supplied identity headers (X-Forwarded-User, X-Forwarded-Email, X-Forwarded-Access-Token) are forwarded to the upstream application without being stripped. This allows an unauthenticated attacker to bypass authentication by manually setting these headers. Reviewing the skip-auth-regex configuration and updating oauth-proxy to the latest version is recommended.
Azərbaycanca: CVE-2026-49331, openshift/oauth-proxy-də autentifikasiyadan yan keçmək üçün təyin edilmiş yollarda (skip-auth-regex) müştəri tərəfindən göndərilən şəxsiyyət başlıqlarının (X-Forwarded-User, X-Forwarded-Email, X-Forwarded-Access-Token) silinmədən upstream tətbiqə ötürülməsi zəifliyidir. Bu, autentifikasiya olunmamış hücumçuya bu başlıqları əl ilə təyin edərək identifikasiya mexanizmini keçməyə imkan verir. Təsirə məruz qalan tətbiqlərdə skip-auth-regex konfiqurasiyasını nəzərdən keçirmək və oauth-proxy-ni ən son versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-287
FAQ2
Under what condition does CVE-2026-49331 allow authentication bypass?
The vulnerability occurs because on paths defined by `skip-auth-regex`, client-supplied identity headers (such as X-Forwarded-User) are forwarded to the upstream application without being stripped. This allows an unauthenticated attacker to bypass authentication by manually setting these headers.
What measures are recommended to mitigate CVE-2026-49331?
For affected applications, it is recommended to review the `skip-auth-regex` configuration and update `openshift/oauth-proxy` to the latest version.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.