CVE-2025-64423
WysokieStreszczenie
Coolify to narzędzie open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 włącznie, użytkownik z niskimi uprawnieniami (członek) może zobaczyć i użyć linków zaproszeniowych wysłanych do administratora. Jeśli użyje linku przed uprawnionym odbiorcą, może zalogować się jako administrator, co prowadzi do eskalacji uprawnień.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym przejęciu konta administratora przez użytkownika z niskimi uprawnieniami, co może prowadzić do pełnej kompromitacji systemu i danych. Atakujący może uzyskać pełną kontrolę nad zarządzanymi serwerami, aplikacjami i bazami danych.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do linków zaproszeniowych dla użytkowników o niskich uprawnieniach oraz monitorowanie ich użycia. Należy również sprawdzić dostępność aktualizacji lub tymczasowo wyłączyć funkcję zaproszeń do czasu wdrożenia poprawki.
Inne podatności w Coolify
Zobacz wszystkie- CVE-2025-64425Wysokie
Coolify to narzędzie open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 istnieje podatność, która pozwala atakującemu zainicjować reset hasła ofiary i zmodyfikować nagłówek Host w żądaniu na złośliwą wartość. Ofiara otrzyma e-mail z linkiem do złośliwego hosta, a po kliknięciu token resetu zostanie wysłany na serwer atakującego, co umożliwia przejęcie konta.
- CVE-2025-64424Wysokie
Coolify to narzędzie typu open-source do samodzielnego zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 włącznie, w polach źródła git zasobu występuje podatność na wstrzyknięcie poleceń, umożliwiająca użytkownikowi z niskimi uprawnieniami (członek) wykonanie poleceń systemowych jako root na instancji Coolify. Na dzień publikacji nie jest jasne, czy dostępna jest poprawka.
- CVE-2025-64421Wysokie
Coolify do wersji v4.0.0-beta.434 zawiera podatność, która pozwala użytkownikowi z niskimi uprawnieniami (członek) zaprosić użytkownika z wysokimi uprawnieniami (administratora). Mimo że pierwsza próba zaproszenia kończy się błędem, ponowne kliknięcie przycisku zaproszenia powoduje powodzenie operacji. Dzięki temu atakujący może zaprosić siebie jako administratora, a następnie zresetować hasło i zalogować się z uprawnieniami administratora.
- CVE-2025-59158Wysokie
Coolify w wersjach do v4.0.0-beta.420.6 zawiera podatność na trwały atak XSS w procesie tworzenia projektu. Uwierzytelniony użytkownik z niskimi uprawnieniami może utworzyć projekt o złośliwej nazwie zawierającej JavaScript, który wykona się w przeglądarce administratora podczas usuwania projektu lub zasobu. Wersja 4.0.0-beta.420.7 zawiera poprawkę.
- CVE-2025-59156Wysokie
Coolify przed wersją 4.0.0-beta.420.7 zawiera podatność zdalnego wykonania kodu (RCE) w procesie wdrażania aplikacji. Użytkownik z niskimi uprawnieniami może wstrzyknąć dowolne dyrektywy Docker Compose podczas tworzenia lub aktualizacji projektu, co pozwala na zamontowanie systemu plików hosta i wykonanie poleceń z uprawnieniami roota, omijając izolację kontenerów.
- CVE-2026-34048Krytyczne
W Coolify przed wersją 4.0.0-beta.471, trasy bootstrap websocket terminala sprawdzają tylko uwierzytelnienie, ale nie egzekwują autoryzacji terminala. Umożliwia to członkowi zespołu z niskimi uprawnieniami połączenie się z trasami terminala i wykonywanie poleceń na serwerach zespołu.
- CVE-2026-34047Krytyczne
W Coolify przed wersją 4.0.0-beta.471, trasy bootstrap WebSocket terminala nie wymuszały oczekiwanego middleware autoryzacji, co pozwalało uwierzytelnionemu użytkownikowi na dostęp do funkcji terminala dla zasobów spoza autoryzowanego zakresu i potencjalne wykonanie poleceń.
- CVE-2026-34037Krytyczne
Coolify przed wersją 4.0.0-beta.464 zawiera podatność w akcji Livewire cloneTo() w pliku ResourceOperations.php. Mechanizm autoryzacji sprawdza tylko źródłowy zasób, ale docelowe zasoby są rozwiązywane bez uwzględnienia zakresu dzierżawy (unscoped Eloquent lookups), co pozwala uwierzytelnionemu użytkownikowi klonować zasoby do miejsc docelowych należących do innych zespołów i uzyskiwać dostęp do zasobów między dzierżawami.
- CVE-2026-34038Krytyczne
Coolify przed wersją 4.0.0-beta.469 zawiera podatność na zdalne wstrzykiwanie poleceń w procesie wdrażania aplikacji. Uwierzytelniony użytkownik z uprawnieniami do zapisu aplikacji może wykorzystać pola takie jak dockerfile_location i polecenia wdrożeniowe do zdalnego wykonania kodu i wycieku wrażliwych zmiennych środowiskowych przez logi wdrożeń.
- CVE-2026-57498Krytyczne
Coolify przed wersją 4.0.0-beta.474 zawiera podatność polegającą na braku walidacji własności serwera w komponentach Livewire. Komponenty te akceptują parametry server_id i destination_uuid z zapytań URL bez sprawdzania przynależności do zespołu, co umożliwia wdrożenie zasobów na serwerach innych zespołów.
Oryginalny opis (angielski, źródło NVD)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. In Coolify versions up to and including v4.0.0-beta.434, a low privileged user (member) can see and use invitation links sent to an administrator. When they use the link before the legitimate recipient does, they are able to log in as an administrator, meaning they have successfully escalated their privileges. As of time of publication, it is unclear if a patch is available.