Shodan
Vulnerabilities
Vulnerable Software

Vulnerability Details CVE-2026-55078

Coder allows organizations to provision remote development environments via Terraform. Starting in version 2.17.0 and prior to versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2, `POST /api/v2/files` converts zip uploads to tar in memory via `CreateTarFromZip`, which enforced a per-entry size limit but no aggregate limit on total decompressed output, writing to an unbounded in-memory buffer. Exploitation requires authenticated file-upload access and the impact is limited to availability (denial of service). The fix in versions 2.29.7, 2.32.7, 2.33.8, and 2.34.2 adds a metadata preflight check that sums projected entry sizes and a streaming writer that enforces the aggregate limit during decompression. As a workaround, restrict file-upload permissions to trusted users or place a reverse proxy with request-body size limits in front of `coderd`.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.006
EPSS Ranking 44.4%
CVSS Severity
CVSS v3 Score 6.5
Products affected by CVE-2026-55078
  • Coder » Coder » Version: 2.17.0
    cpe:2.3:a:coder:coder:2.17.0
  • Coder » Coder » Version: 2.17.2
    cpe:2.3:a:coder:coder:2.17.2
  • Coder » Coder » Version: 2.17.3
    cpe:2.3:a:coder:coder:2.17.3
  • Coder » Coder » Version: 2.18.0
    cpe:2.3:a:coder:coder:2.18.0
  • Coder » Coder » Version: 2.18.1
    cpe:2.3:a:coder:coder:2.18.1
  • Coder » Coder » Version: 2.18.2
    cpe:2.3:a:coder:coder:2.18.2
  • Coder » Coder » Version: 2.18.3
    cpe:2.3:a:coder:coder:2.18.3
  • Coder » Coder » Version: 2.18.4
    cpe:2.3:a:coder:coder:2.18.4
  • Coder » Coder » Version: 2.18.5
    cpe:2.3:a:coder:coder:2.18.5
  • Coder » Coder » Version: 2.19.0
    cpe:2.3:a:coder:coder:2.19.0
  • Coder » Coder » Version: 2.19.1
    cpe:2.3:a:coder:coder:2.19.1
  • Coder » Coder » Version: 2.19.2
    cpe:2.3:a:coder:coder:2.19.2
  • Coder » Coder » Version: 2.19.3
    cpe:2.3:a:coder:coder:2.19.3
  • Coder » Coder » Version: 2.20.0
    cpe:2.3:a:coder:coder:2.20.0
  • Coder » Coder » Version: 2.20.1
    cpe:2.3:a:coder:coder:2.20.1
  • Coder » Coder » Version: 2.20.2
    cpe:2.3:a:coder:coder:2.20.2
  • Coder » Coder » Version: 2.20.3
    cpe:2.3:a:coder:coder:2.20.3
  • Coder » Coder » Version: 2.21.0
    cpe:2.3:a:coder:coder:2.21.0
  • Coder » Coder » Version: 2.21.1
    cpe:2.3:a:coder:coder:2.21.1
  • Coder » Coder » Version: 2.21.2
    cpe:2.3:a:coder:coder:2.21.2
  • Coder » Coder » Version: 2.21.3
    cpe:2.3:a:coder:coder:2.21.3
  • Coder » Coder » Version: 2.22
    cpe:2.3:a:coder:coder:2.22
  • Coder » Coder » Version: 2.22.0
    cpe:2.3:a:coder:coder:2.22.0
  • Coder » Coder » Version: 2.22.1
    cpe:2.3:a:coder:coder:2.22.1
  • Coder » Coder » Version: 2.23.0
    cpe:2.3:a:coder:coder:2.23.0
  • Coder » Coder » Version: 2.23.1
    cpe:2.3:a:coder:coder:2.23.1
  • Coder » Coder » Version: 2.23.2
    cpe:2.3:a:coder:coder:2.23.2
  • Coder » Coder » Version: 2.23.3
    cpe:2.3:a:coder:coder:2.23.3
  • Coder » Coder » Version: 2.23.4
    cpe:2.3:a:coder:coder:2.23.4
  • Coder » Coder » Version: 2.23.5
    cpe:2.3:a:coder:coder:2.23.5
  • Coder » Coder » Version: 2.24.0
    cpe:2.3:a:coder:coder:2.24.0
  • Coder » Coder » Version: 2.24.1
    cpe:2.3:a:coder:coder:2.24.1
  • Coder » Coder » Version: 2.24.2
    cpe:2.3:a:coder:coder:2.24.2
  • Coder » Coder » Version: 2.24.3
    cpe:2.3:a:coder:coder:2.24.3
  • Coder » Coder » Version: 2.24.4
    cpe:2.3:a:coder:coder:2.24.4
  • Coder » Coder » Version: 2.25.0
    cpe:2.3:a:coder:coder:2.25.0
  • Coder » Coder » Version: 2.25.1
    cpe:2.3:a:coder:coder:2.25.1
  • Coder » Coder » Version: 2.25.2
    cpe:2.3:a:coder:coder:2.25.2
  • Coder » Coder » Version: 2.25.3
    cpe:2.3:a:coder:coder:2.25.3
  • Coder » Coder » Version: 2.26.0
    cpe:2.3:a:coder:coder:2.26.0
  • Coder » Coder » Version: 2.26.1
    cpe:2.3:a:coder:coder:2.26.1
  • Coder » Coder » Version: 2.26.2
    cpe:2.3:a:coder:coder:2.26.2
  • Coder » Coder » Version: 2.26.3
    cpe:2.3:a:coder:coder:2.26.3
  • Coder » Coder » Version: 2.26.4
    cpe:2.3:a:coder:coder:2.26.4
  • Coder » Coder » Version: 2.26.5
    cpe:2.3:a:coder:coder:2.26.5
  • Coder » Coder » Version: 2.26.6
    cpe:2.3:a:coder:coder:2.26.6
  • Coder » Coder » Version: 2.27.0
    cpe:2.3:a:coder:coder:2.27.0
  • Coder » Coder » Version: 2.27.1
    cpe:2.3:a:coder:coder:2.27.1
  • Coder » Coder » Version: 2.27.10
    cpe:2.3:a:coder:coder:2.27.10
  • Coder » Coder » Version: 2.27.11
    cpe:2.3:a:coder:coder:2.27.11
  • Coder » Coder » Version: 2.27.2
    cpe:2.3:a:coder:coder:2.27.2
  • Coder » Coder » Version: 2.27.3
    cpe:2.3:a:coder:coder:2.27.3
  • Coder » Coder » Version: 2.27.4
    cpe:2.3:a:coder:coder:2.27.4
  • Coder » Coder » Version: 2.27.5
    cpe:2.3:a:coder:coder:2.27.5
  • Coder » Coder » Version: 2.27.6
    cpe:2.3:a:coder:coder:2.27.6
  • Coder » Coder » Version: 2.27.7
    cpe:2.3:a:coder:coder:2.27.7
  • Coder » Coder » Version: 2.27.8
    cpe:2.3:a:coder:coder:2.27.8
  • Coder » Coder » Version: 2.27.9
    cpe:2.3:a:coder:coder:2.27.9
  • Coder » Coder » Version: 2.28.0
    cpe:2.3:a:coder:coder:2.28.0
  • Coder » Coder » Version: 2.28.1
    cpe:2.3:a:coder:coder:2.28.1
  • Coder » Coder » Version: 2.28.2
    cpe:2.3:a:coder:coder:2.28.2
  • Coder » Coder » Version: 2.28.3
    cpe:2.3:a:coder:coder:2.28.3
  • Coder » Coder » Version: 2.28.4
    cpe:2.3:a:coder:coder:2.28.4
  • Coder » Coder » Version: 2.28.5
    cpe:2.3:a:coder:coder:2.28.5
  • Coder » Coder » Version: 2.28.6
    cpe:2.3:a:coder:coder:2.28.6
  • Coder » Coder » Version: 2.28.7
    cpe:2.3:a:coder:coder:2.28.7
  • Coder » Coder » Version: 2.28.8
    cpe:2.3:a:coder:coder:2.28.8
  • Coder » Coder » Version: 2.28.9
    cpe:2.3:a:coder:coder:2.28.9
  • Coder » Coder » Version: 2.29.0
    cpe:2.3:a:coder:coder:2.29.0
  • Coder » Coder » Version: 2.29.1
    cpe:2.3:a:coder:coder:2.29.1
  • Coder » Coder » Version: 2.29.10
    cpe:2.3:a:coder:coder:2.29.10
  • Coder » Coder » Version: 2.29.11
    cpe:2.3:a:coder:coder:2.29.11
  • Coder » Coder » Version: 2.29.12
    cpe:2.3:a:coder:coder:2.29.12
  • Coder » Coder » Version: 2.29.13
    cpe:2.3:a:coder:coder:2.29.13
  • Coder » Coder » Version: 2.29.14
    cpe:2.3:a:coder:coder:2.29.14
  • Coder » Coder » Version: 2.29.15
    cpe:2.3:a:coder:coder:2.29.15
  • Coder » Coder » Version: 2.29.16
    cpe:2.3:a:coder:coder:2.29.16
  • Coder » Coder » Version: 2.29.2
    cpe:2.3:a:coder:coder:2.29.2
  • Coder » Coder » Version: 2.29.3
    cpe:2.3:a:coder:coder:2.29.3
  • Coder » Coder » Version: 2.29.4
    cpe:2.3:a:coder:coder:2.29.4
  • Coder » Coder » Version: 2.29.5
    cpe:2.3:a:coder:coder:2.29.5
  • Coder » Coder » Version: 2.29.6
    cpe:2.3:a:coder:coder:2.29.6
  • Coder » Coder » Version: 2.29.7
    cpe:2.3:a:coder:coder:2.29.7
  • Coder » Coder » Version: 2.29.8
    cpe:2.3:a:coder:coder:2.29.8
  • Coder » Coder » Version: 2.29.9
    cpe:2.3:a:coder:coder:2.29.9
  • Coder » Coder » Version: 2.30.0
    cpe:2.3:a:coder:coder:2.30.0
  • Coder » Coder » Version: 2.30.1
    cpe:2.3:a:coder:coder:2.30.1
  • Coder » Coder » Version: 2.30.2
    cpe:2.3:a:coder:coder:2.30.2
  • Coder » Coder » Version: 2.30.3
    cpe:2.3:a:coder:coder:2.30.3
  • Coder » Coder » Version: 2.30.4
    cpe:2.3:a:coder:coder:2.30.4
  • Coder » Coder » Version: 2.30.5
    cpe:2.3:a:coder:coder:2.30.5
  • Coder » Coder » Version: 2.30.6
    cpe:2.3:a:coder:coder:2.30.6
  • Coder » Coder » Version: 2.30.7
    cpe:2.3:a:coder:coder:2.30.7
  • Coder » Coder » Version: 2.30.8
    cpe:2.3:a:coder:coder:2.30.8
  • Coder » Coder » Version: 2.30.9
    cpe:2.3:a:coder:coder:2.30.9
  • Coder » Coder » Version: 2.31.0
    cpe:2.3:a:coder:coder:2.31.0
  • Coder » Coder » Version: 2.31.1
    cpe:2.3:a:coder:coder:2.31.1
  • Coder » Coder » Version: 2.31.10
    cpe:2.3:a:coder:coder:2.31.10
  • Coder » Coder » Version: 2.31.11
    cpe:2.3:a:coder:coder:2.31.11
  • Coder » Coder » Version: 2.31.12
    cpe:2.3:a:coder:coder:2.31.12
  • Coder » Coder » Version: 2.31.13
    cpe:2.3:a:coder:coder:2.31.13
  • Coder » Coder » Version: 2.31.14
    cpe:2.3:a:coder:coder:2.31.14
  • Coder » Coder » Version: 2.31.2
    cpe:2.3:a:coder:coder:2.31.2
  • Coder » Coder » Version: 2.31.3
    cpe:2.3:a:coder:coder:2.31.3
  • Coder » Coder » Version: 2.31.4
    cpe:2.3:a:coder:coder:2.31.4
  • Coder » Coder » Version: 2.31.5
    cpe:2.3:a:coder:coder:2.31.5
  • Coder » Coder » Version: 2.31.6
    cpe:2.3:a:coder:coder:2.31.6
  • Coder » Coder » Version: 2.31.7
    cpe:2.3:a:coder:coder:2.31.7
  • Coder » Coder » Version: 2.31.8
    cpe:2.3:a:coder:coder:2.31.8
  • Coder » Coder » Version: 2.31.9
    cpe:2.3:a:coder:coder:2.31.9
  • Coder » Coder » Version: 2.32.0
    cpe:2.3:a:coder:coder:2.32.0
  • Coder » Coder » Version: 2.32.1
    cpe:2.3:a:coder:coder:2.32.1
  • Coder » Coder » Version: 2.32.2
    cpe:2.3:a:coder:coder:2.32.2
  • Coder » Coder » Version: 2.32.3
    cpe:2.3:a:coder:coder:2.32.3
  • Coder » Coder » Version: 2.32.4
    cpe:2.3:a:coder:coder:2.32.4
  • Coder » Coder » Version: 2.32.5
    cpe:2.3:a:coder:coder:2.32.5
  • Coder » Coder » Version: 2.32.6
    cpe:2.3:a:coder:coder:2.32.6
  • Coder » Coder » Version: 2.33.0
    cpe:2.3:a:coder:coder:2.33.0
  • Coder » Coder » Version: 2.33.1
    cpe:2.3:a:coder:coder:2.33.1
  • Coder » Coder » Version: 2.33.2
    cpe:2.3:a:coder:coder:2.33.2
  • Coder » Coder » Version: 2.33.3
    cpe:2.3:a:coder:coder:2.33.3
  • Coder » Coder » Version: 2.33.4
    cpe:2.3:a:coder:coder:2.33.4
  • Coder » Coder » Version: 2.33.5
    cpe:2.3:a:coder:coder:2.33.5
  • Coder » Coder » Version: 2.33.6
    cpe:2.3:a:coder:coder:2.33.6
  • Coder » Coder » Version: 2.33.7
    cpe:2.3:a:coder:coder:2.33.7
  • Coder » Coder » Version: 2.34.0
    cpe:2.3:a:coder:coder:2.34.0
  • Coder » Coder » Version: 2.34.1
    cpe:2.3:a:coder:coder:2.34.1


Products
Pricing
Contact Us

Shodan ® - All rights reserved