CVE-2026-41899
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Coolify przed wersją 4.0.0-beta.474 endpoint POST /api/feedback nie wymaga uwierzytelnienia, nie ma ograniczeń szybkości ani walidacji danych wejściowych. Pozwala to na przesyłanie dowolnej treści bezpośrednio do webhooka Discord, co umożliwia spam, wstrzykiwanie treści i nadużycie webhooka.
Ocena ryzyka
Organizacja narażona jest na spam i ataki socjotechniczne poprzez Discord, a także na potencjalne naruszenie reputacji i przeciążenie webhooka, co może zakłócić działanie komunikacji.
Rekomendacja
Należy natychmiast zaktualizować Coolify do wersji 4.0.0-beta.474 lub nowszej, która zawiera poprawkę eliminującą brak uwierzytelnienia i walidacji.
Oryginalny opis (angielski, źródło NVD)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to 4.0.0-beta.474, POST /api/feedback has no authentication, no rate limiting, and no input validation, allowing arbitrary content to be forwarded directly to a Discord webhook and enabling spam, content injection, and webhook abuse. This issue is fixed in version 4.0.0-beta.474.