CVE-2026-27130
KrytyczneStreszczenie
Dokploy to darmowa platforma PaaS, która w wersjach 0.26.6 i poniżej ma podatność na wstrzykiwanie poleceń systemowych przez parametr appName. Problemy wynikają z niewystarczającej sanitizacji wejścia, braku walidacji schematu oraz bezpośredniej interpolacji w powłokę.
Ocena ryzyka
Zagrożenie polega na tym, że uwierzytelniony atakujący może wstrzykiwać metaznaki powłoki, co prowadzi do wykonania nieautoryzowanych poleceń z uprawnieniami serwera. Może to skutkować poważnymi naruszeniami bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do wersji 0.26.7, która rozwiązuje ten problem. Dodatkowo, warto wprowadzić dodatkowe mechanizmy sanitizacji i walidacji danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Dokploy is a free, self-hostable Platform as a Service (PaaS). Versions 0.26.6 and below have OS command injection through the appName parameter. 3 chained issues cause this problem: inadequate input sanitization, lack of schema validation and direct shell interpolation. User-controlled application names are passed through inadequate sanitization (cleanAppName function only replaces spaces and converts to lowercase) before being interpolated directly into shell commands executed via execAsync() and execAsyncRemote(). An authenticated attacker can inject shell metacharacters (e.g., ;, $(), backticks, |, &) in the appName field during application creation, which are then executed with server-level privileges when service operations (start, stop, remove, scale) are triggered. This issue has been resolved in version 0.26.7.