CVE-2026-32718
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Coolify przed wersją 4.0.0-beta.466 posiada podatność, w której punkty końcowe API do walidacji mutacji są chronione jedynie uprawnieniami do odczytu. Pozwala to tokenom API z zakresem tylko do odczytu na wykonywanie operacji zmieniających stan, takich jak walidacja tokenów chmurowych i serwerów.
Ocena ryzyka
Ryzyko polega na tym, że atakujący z tokenem API o ograniczonych uprawnieniach (tylko do odczytu) może nieautoryzowanie modyfikować stan systemu, co może prowadzić do naruszenia integralności danych i nieoczekiwanych zmian w konfiguracji.
Rekomendacja
Należy natychmiast zaktualizować Coolify do wersji 4.0.0-beta.466 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to 4.0.0-beta.466, mutating API validation endpoints are guarded by read ability, allowing read-scoped API tokens to perform state-changing operations such as validating cloud tokens and servers. This issue is fixed in version 4.0.0-beta.466.