CVE-2026-62286
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Dozzle to przeglądarka logów w czasie rzeczywistym dla kontenerów Docker. Przed wersją 10.6.7 funkcja streamEvents w pliku internal/web/events.go stosuje filtr etykiet ograniczonego użytkownika do list kontenerów, ale nie do kanałów statystyk kontenerów i zdarzeń kontenerów zwracanych przez GET /api/events/stream. W prostym wdrożeniu uwierzytelniania z filtrami na użytkownika każde uwierzytelnione konto o ograniczonym zakresie może otrzymywać dane telemetryczne i zdarzenia cyklu życia dla kontenerów poza swoim autoryzowanym zakresem etykiet. Ujawnione dane obejmują nazwy kontenerów, obrazy, pełne mapy etykiet, użycie CPU i pamięci, sumy sieciowe i dyskowe oraz aktywność wdrożeń lub restartów na monitorowanych hostach, ale nie obejmują zawartości logów, wartości środowiskowych ani dostępu exec. Problem naprawiono w wersji 10.6.7.
Ocena ryzyka
Podatność może pozwolić uwierzytelnionemu użytkownikowi o ograniczonym zakresie na dostęp do danych telemetrycznych i zdarzeń kontenerów spoza jego uprawnień, co może ujawnić informacje o infrastrukturze. Może to naruszyć izolację między użytkownikami.
Rekomendacja
Zaktualizuj Dozzle do wersji 10.6.7 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointu /api/events/stream lub wdrożenie dodatkowych kontroli dostępu.
Inne podatności w Dozzle
Zobacz wszystkie- CVE-2026-44985Krytyczne
Podatność Cross-Site WebSocket Hijacking w Dozzle przed wersją 10.5.2. WebSocket upgrader dla endpointów /exec i /attach akceptuje żądania z dowolnego pochodzenia, a ciasteczko JWT używa SameSite: Lax. Atakujący z tej samej domeny (np. subdomena) może przejąć sesję WebSocket i uzyskać interaktywny dostęp do powłoki w kontenerze.
- CVE-2026-73087Niskie
Dozzle to przeglądarka logów w czasie rzeczywistym dla kontenerów Docker. Od wersji 10.5.2 do 10.6.15, ochrona SSRF isBlockedIP w internal/notification/dispatcher/webhook.go, używana przez safeDialContext dla adresów URL powiadomień webhook, nie sprawdza adresów IPv4 osadzonych w adresach IPv6 6to4, NAT64, Teredo lub kompatybilnych z IPv4, co pozwala uwierzytelnionemu użytkownikowi na dotarcie do celów loopback lub link-local, które ochrona ma blokować. Problem został naprawiony w wersji 10.6.15.
- CVE-2026-45298Wysokie
W Dozzle przed wersją 10.5.2, w domyślnej konfiguracji (bez DOZZLE_AUTH_PROVIDER), punkt końcowy POST /api/notifications/test-webhook jest dostępny bez uwierzytelnienia. Atakujący może wysłać żądanie z dowolnym URL-em, a Dozzle wyśle do niego żądanie HTTP POST z kontrolowanymi nagłówkami i zwróci odpowiedź (kod statusu oraz do 1MB treści) atakującemu.
Oryginalny opis (angielski, źródło NVD)
Dozzle is a realtime log viewer for docker containers. Prior to 10.6.7, streamEvents in internal/web/events.go applies a restricted user's label filter to container lists but not to the container-stat and container-event channels returned by GET /api/events/stream. In a simple-auth deployment using per-user filters, any authenticated restricted account can receive resource telemetry and lifecycle events for containers outside its authorized label scope. The exposed data includes container names, images, full label maps, CPU and memory use, network and disk totals, and deployment or restart activity across monitored hosts, but does not include log contents, environment values, or exec access. This issue is fixed in version 10.6.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS