CVE-2026-34050
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Coolify przed wersją 4.0.0-beta.471 komponent Livewire Settings/Updates nie sprawdza uprawnień isInstanceAdmin w metodzie mount, co umożliwia nieuprawnionym użytkownikom dostęp do strony ustawień aktualizacji i potencjalną modyfikację konfiguracji automatycznych aktualizacji lub inicjowanie sprawdzania aktualizacji.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowany użytkownik może zmienić ustawienia automatycznych aktualizacji lub wywołać sprawdzanie aktualizacji, co może prowadzić do niekontrolowanych zmian w systemie lub potencjalnych problemów z bezpieczeństwem.
Rekomendacja
Należy niezwłocznie zaktualizować Coolify do wersji 4.0.0-beta.471 lub nowszej, która zawiera poprawkę usuwającą tę lukę.
Oryginalny opis (angielski, źródło NVD)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to 4.0.0-beta.471, the Settings/Updates Livewire component does not check isInstanceAdmin in its mount method, allowing non-admin users to access the Updates settings page and potentially modify auto-update settings or trigger update checks. This issue is fixed in version 4.0.0-beta.471.