CVE-2026-72865
KrytyczneCVSS 9.9Streszczenie
Dokploy przed wersją 0.29.13 w operacji compose.update przechowuje niezweryfikowany composePath, który jest interpolowany do poleceń docker compose -f, docker stack deploy -c i touch wykonywanych przez /bin/sh -c. Uwierzytelniony członek z uprawnieniami do zapisu i wdrażania compose może dostarczyć spreparowany composePath, wywołać compose.deploy lub startCompose i wykonać dowolne polecenia systemu operacyjnego w kontekście hosta z uprawnieniami Docker.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na hoście z uprawnieniami Docker, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj Dokploy do wersji 0.29.13 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the compose.update operation stores an unvalidated composePath that packages/server/src/utils/builders/compose.ts and packages/server/src/services/compose.ts interpolate into docker compose -f, docker stack deploy -c, and touch shell commands executed through /bin/sh -c. An authenticated member with compose write and deploy permission can supply a crafted composePath, trigger compose.deploy or startCompose, and execute arbitrary operating-system commands in the Docker-privileged Dokploy host context. This issue is fixed in version 0.29.13.