CVE-2026-44985
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site WebSocket Hijacking w Dozzle przed wersją 10.5.2. WebSocket upgrader dla endpointów /exec i /attach akceptuje żądania z dowolnego pochodzenia, a ciasteczko JWT używa SameSite: Lax. Atakujący z tej samej domeny (np. subdomena) może przejąć sesję WebSocket i uzyskać interaktywny dostęp do powłoki w kontenerze.
Ocena ryzyka
Atakujący może uzyskać dostęp do powłoki w kontenerze, do którego ofiara ma uprawnienia, co może prowadzić do wycieku danych lub dalszej kompromitacji.
Rekomendacja
Zaleca się aktualizację Dozzle do wersji 10.5.2 lub nowszej.
Inne podatności w Dozzle
Zobacz wszystkie- CVE-2026-102332Średnie
Dozzle w wersjach przed 11.1.2 nie sanityzuje nazw wyświetlanych kontenerów podczas tworzenia nazw wpisów archiwum ZIP w punkcie końcowym pobierania logów. Atakujący mogący nadawać etykiety kontenerom może użyć sekwencji przejścia ścieżki, aby zapisać pliki poza katalogiem rozpakowania, gdy użytkownicy pobierają i rozpakowują logi.
- CVE-2026-62286Średnie
Dozzle to przeglądarka logów w czasie rzeczywistym dla kontenerów Docker. Przed wersją 10.6.7 funkcja streamEvents w pliku internal/web/events.go stosuje filtr etykiet ograniczonego użytkownika do list kontenerów, ale nie do kanałów statystyk kontenerów i zdarzeń kontenerów zwracanych przez GET /api/events/stream. W prostym wdrożeniu uwierzytelniania z filtrami na użytkownika każde uwierzytelnione konto o ograniczonym zakresie może otrzymywać dane telemetryczne i zdarzenia cyklu życia dla kontenerów poza swoim autoryzowanym zakresem etykiet. Ujawnione dane obejmują nazwy kontenerów, obrazy, pełne mapy etykiet, użycie CPU i pamięci, sumy sieciowe i dyskowe oraz aktywność wdrożeń lub restartów na monitorowanych hostach, ale nie obejmują zawartości logów, wartości środowiskowych ani dostępu exec. Problem naprawiono w wersji 10.6.7.
- CVE-2026-73087Niskie
Dozzle to przeglądarka logów w czasie rzeczywistym dla kontenerów Docker. Od wersji 10.5.2 do 10.6.15, ochrona SSRF isBlockedIP w internal/notification/dispatcher/webhook.go, używana przez safeDialContext dla adresów URL powiadomień webhook, nie sprawdza adresów IPv4 osadzonych w adresach IPv6 6to4, NAT64, Teredo lub kompatybilnych z IPv4, co pozwala uwierzytelnionemu użytkownikowi na dotarcie do celów loopback lub link-local, które ochrona ma blokować. Problem został naprawiony w wersji 10.6.15.
- CVE-2026-45298Wysokie
W Dozzle przed wersją 10.5.2, w domyślnej konfiguracji (bez DOZZLE_AUTH_PROVIDER), punkt końcowy POST /api/notifications/test-webhook jest dostępny bez uwierzytelnienia. Atakujący może wysłać żądanie z dowolnym URL-em, a Dozzle wyśle do niego żądanie HTTP POST z kontrolowanymi nagłówkami i zwróci odpowiedź (kod statusu oraz do 1MB treści) atakującemu.
Oryginalny opis (angielski, źródło NVD)
Dozzle is a realtime log viewer for docker containers. Prior to 10.5.2, he WebSocket upgrader for the /exec and /attach endpoints uses CheckOrigin: func(r *http.Request) bool { return true }, accepting upgrade requests from any origin. Combined with the JWT cookie using SameSite: Lax, this enables Cross-Site WebSocket Hijacking (CSWSH). An attacker hosting a page on a same-site origin (e.g., a sibling subdomain, or another service on localhost) can initiate a WebSocket connection to the exec endpoint that carries the victim's valid JWT cookie, gaining interactive shell access in any container the victim is authorized to access. This vulnerability is fixed in 10.5.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS