CVE-2026-72733
KrytyczneCVSS 9.9Streszczenie
Dokploy przed wersją 0.29.13 zawiera podatność na wstrzykiwanie poleceń w subskrypcji backup.restoreBackupWithLogs, gdzie pola databaseName i backupFile są interpolowane do poleceń przywracania bazy danych bez odpowiedniego oddzielenia od składni powłoki. Uwierzytelniony użytkownik z uprawnieniami do przywracania kopii zapasowych może wstrzyknąć polecenia systemu operacyjnego wykonywane w kontekście hosta Dokploy.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na hoście Dokploy, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj Dokploy do wersji 0.29.13 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the backup.restoreBackupWithLogs tRPC subscription builds database restore shell pipelines from the user-controlled databaseName and backupFile fields without safely separating them from shell syntax. packages/server/src/utils/restore/utils.ts interpolates databaseName into database-specific restore commands, while packages/server/src/utils/restore/postgres.ts and the analogous restore modules interpolate backupFile into rclone paths. An authenticated member with backup-restore permission can inject operating-system commands that execute in the Dokploy host context through execAsync or execAsyncRemote, even when no valid database container or backup file exists. This issue is fixed in version 0.29.13.