CVE-2026-45629
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Dokploy 0.28.8 i wcześniejsze zawiera podatność na wstrzykiwanie poleceń OS w punkcie końcowym WebSocket /listen-deployment. Każdy członek organizacji może wykonywać dowolne polecenia systemowe na zdalnych serwerach zarządzanych przez Dokploy, prowadząc do pełnego przejęcia serwera.
Ocena ryzyka
Każdy uwierzytelniony członek organizacji może przejąć kontrolę nad zdalnymi serwerami, co stanowi poważne zagrożenie dla całej infrastruktury.
Rekomendacja
Zaktualizuj Dokploy do wersji 0.28.9 lub nowszej, która usuwa tę podatność, oraz ogranicz dostęp do WebSocketów.
Oryginalny opis (angielski, źródło NVD)
Dokploy is a free, self-hostable Platform as a Service (PaaS). In 0.28.8 and earlier, authenticated OS command injection in the /listen-deployment WebSocket endpoint allows any organization member to execute arbitrary system commands on remote servers managed by Dokploy, leading to full server compromise.