CVE-2025-64421
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Coolify do wersji v4.0.0-beta.434 zawiera podatność, która pozwala użytkownikowi z niskimi uprawnieniami (członek) zaprosić użytkownika z wysokimi uprawnieniami (administratora). Mimo że pierwsza próba zaproszenia kończy się błędem, ponowne kliknięcie przycisku zaproszenia powoduje powodzenie operacji. Dzięki temu atakujący może zaprosić siebie jako administratora, a następnie zresetować hasło i zalogować się z uprawnieniami administratora.
Ocena ryzyka
Ryzyko eskalacji uprawnień: osoba z ograniczonym dostępem może przejąć pełną kontrolę nad instancją Coolify, co może prowadzić do nieautoryzowanego dostępu do zarządzanych aplikacji, baz danych i serwerów.
Rekomendacja
Zaleca się natychmiastowe ograniczenie możliwości zapraszania użytkowników tylko do administratorów oraz monitorowanie dostępności poprawek. Należy również rozważyć tymczasowe wyłączenie funkcji zaproszeń, jeśli to możliwe, do czasu wdrożenia oficjalnej łatki.
Inne podatności w Coolify
Zobacz wszystkie- CVE-2026-34048Krytyczne
W Coolify przed wersją 4.0.0-beta.471, trasy bootstrap websocket terminala sprawdzają tylko uwierzytelnienie, ale nie egzekwują autoryzacji terminala. Umożliwia to członkowi zespołu z niskimi uprawnieniami połączenie się z trasami terminala i wykonywanie poleceń na serwerach zespołu.
- CVE-2026-34047Krytyczne
W Coolify przed wersją 4.0.0-beta.471, trasy bootstrap WebSocket terminala nie wymuszały oczekiwanego middleware autoryzacji, co pozwalało uwierzytelnionemu użytkownikowi na dostęp do funkcji terminala dla zasobów spoza autoryzowanego zakresu i potencjalne wykonanie poleceń.
- CVE-2026-34037Krytyczne
Coolify przed wersją 4.0.0-beta.464 zawiera podatność w akcji Livewire cloneTo() w pliku ResourceOperations.php. Mechanizm autoryzacji sprawdza tylko źródłowy zasób, ale docelowe zasoby są rozwiązywane bez uwzględnienia zakresu dzierżawy (unscoped Eloquent lookups), co pozwala uwierzytelnionemu użytkownikowi klonować zasoby do miejsc docelowych należących do innych zespołów i uzyskiwać dostęp do zasobów między dzierżawami.
- CVE-2026-34038Krytyczne
Coolify przed wersją 4.0.0-beta.469 zawiera podatność na zdalne wstrzykiwanie poleceń w procesie wdrażania aplikacji. Uwierzytelniony użytkownik z uprawnieniami do zapisu aplikacji może wykorzystać pola takie jak dockerfile_location i polecenia wdrożeniowe do zdalnego wykonania kodu i wycieku wrażliwych zmiennych środowiskowych przez logi wdrożeń.
- CVE-2026-57498Krytyczne
Coolify przed wersją 4.0.0-beta.474 zawiera podatność polegającą na braku walidacji własności serwera w komponentach Livewire. Komponenty te akceptują parametry server_id i destination_uuid z zapytań URL bez sprawdzania przynależności do zespołu, co umożliwia wdrożenie zasobów na serwerach innych zespołów.
- CVE-2025-64420Krytyczne
Coolify to narzędzie open-source do samodzielnego hostowania do zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 włącznie, użytkownicy z niskimi uprawnieniami mogą zobaczyć klucz prywatny użytkownika root na instancji Coolify. Umożliwia to połączenie SSH i uwierzytelnienie jako root przy użyciu tego klucza. W chwili publikacji nie jest jasne, czy dostępna jest poprawka.
- CVE-2025-64419Krytyczne
Coolify to narzędzie open-source do samodzielnego hostowania do zarządzania serwerami, aplikacjami i bazami danych. Przed wersją 4.0.0-beta.445 parametry pochodzące z docker-compose.yaml nie są sanityzowane, gdy są używane w poleceniach. Jeśli ofiara utworzy aplikację z repozytorium atakującego (używając build pack "docker compose"), atakujący może wykonać polecenia na instancji Coolify jako root. Wersja 4.0.0-beta.445 naprawia ten problem.
- CVE-2025-59157Krytyczne
Coolify to narzędzie open-source do samodzielnego hostowania do zarządzania serwerami, aplikacjami i bazami danych. Przed wersją 4.0.0-beta.420.7 pole Git Repository podczas tworzenia projektu jest podatne na wstrzyknięcie poleceń. Dane wejściowe użytkownika nie są odpowiednio sanityzowane, co pozwala atakującym na wstrzyknięcie dowolnych poleceń powłoki, które są wykonywane na serwerze podczas procesu wdrażania. Zwykły użytkownik może wykorzystać tę podatność. Wersja 4.0.0-beta.420.7 zawiera poprawkę.
- CVE-2025-34157Krytyczne
Podatność typu stored XSS w Coolify przed wersją v4.0.0-beta.420.6 umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wstrzyknięcie złośliwego JavaScriptu w nazwę projektu. Kod wykonuje się w przeglądarce administratora podczas próby usunięcia projektu lub powiązanego zasobu.
- CVE-2026-100746Wysokie
Podatność w coollabsio Coolify do wersji 4.1.0 dotyczy funkcji Github::redirect w pliku /webhooks/source/github/redirect komponentu GitHub App Setup Handler. Manipulacja argumentem state prowadzi do braku uwierzytelnienia. Atak może być wykonany zdalnie, a exploit jest publiczny. Wersja 4.1.1 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. In Coolify versions up to and including v4.0.0-beta.434, a low privileged user (member) can invite a high privileged user. At first, the application will throw an error, but if the attacker clicks the invite button a second time, it actually works. This way, a low privileged user can invite themselves as an administrator to the Coolify instance. After the high privileged user is invited, the attacker can initiate a password reset and log in with the new admin. As of time of publication, it is unclear if a patch is available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS