CVE-2026-34035
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Coolify przed wersją 4.0.0-beta.466 zawiera podatność polegającą na interpolacji sekretów log drain i wartości zmiennych środowiskowych do poleceń powłoki bez odpowiedniego kodowania. Umożliwia to uwierzytelnionemu użytkownikowi wstrzyknięcie poleceń wykonywanych na hoście.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub przerwania działania usług.
Rekomendacja
Należy natychmiast zaktualizować Coolify do wersji 4.0.0-beta.466 lub nowszej, która zawiera niezbędne poprawki zabezpieczające.
Oryginalny opis (angielski, źródło NVD)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to 4.0.0-beta.466, log drain secret and environment values were interpolated into shell commands without sufficient encoding, allowing an authenticated user to inject commands executed on the host. This issue is fixed in version 4.0.0-beta.466.