Katalog podatności CVE

Dokploy przed wersją 0.29.13 w lokalnej gałęzi /docker-container-terminal uwierzytelnia za pomocą validateRequest, ale nie autoryzuje kontrolowanego przez atakującego containerId względem roli, organizacji lub dostępu do usługi wywołującego przed przekazaniem go do `docker exec`, co pozwala każdemu uwierzytelnionemu członkowi uzyskać powłokę root w dowolnych kontenerach na samodzielnie hostowanej instancji.

Dokploy przed wersją 0.29.13 w handlerach WebSocket (terminalach w aplikacji i strumieniach logów) uwierzytelnia sesję, ale nigdy jej nie autoryzuje. Ustalają tożsamość użytkownika przez validateRequest(), a następnie działają bez konsultacji z modelem ról/uprawnień, który egzekwują wszystkie procedury tRPC. Każdy uwierzytelniony członek może otworzyć interaktywną powłokę w dowolnym kontenerze na hoście, w tym w kontenerze dokploy montującym gniazdo Docker, a stamtąd uzyskać root na hoście, wychodząc poza aplikację i przekraczając granice dzierżawców.

Metabase umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego SQL przez publicznie udostępnioną kartę lub pulpit nawigacyjny, który udostępnia parametr filtra wymiaru.

Dokploy przed wersją 0.29.13 w funkcjach wdrażania usług baz danych (mariadb.ts, mongo.ts, mysql.ts, postgres.ts, redis.ts i libsql.ts) przekazuje kontrolowane przez użytkownika pola dockerImage bez cudzysłowów do poleceń docker pull ${dockerImage} w ścieżce zdalnego serwera.

Dokploy przed wersją 0.29.13 zawiera podatność na wstrzykiwanie poleceń w funkcji addHostToKnownHostsCommand, gdzie domena z user-controlled customGitUrl jest interpolowana do polecenia ssh-keyscan bez odpowiedniego cytowania. Uwierzytelniony użytkownik z uprawnieniami do wdrażania usług i dołączonym kluczem SSH może wykonać dowolne polecenia na hoście Dokploy podczas wdrażania.

Dokploy przed wersją 0.29.13 zawiera podatność na wstrzykiwanie poleceń w endpointcie backup.listBackupFiles, gdzie parametr search jest interpolowany do polecenia rclone lsjson bez odpowiedniego zabezpieczenia. Uwierzytelniony użytkownik z uprawnieniami backup:read może wykonać dowolne polecenia na hoście Dokploy.

Dokploy w wersji 0.29.8 i wcześniejszych zawiera podatność polegającą na braku weryfikacji przynależności destinationId do organizacji w endpointach backup.create, backup.update i backup.restoreBackupWithLogs. Uwierzytelniony użytkownik z uprawnieniami do tworzenia kopii zapasowych w jednej organizacji może uzyskać dostęp do danych S3 innej organizacji, odczytać obiekty kopii zapasowych lub przekierować i zatruć kopie zapasowe między dzierżawcami.

Dokploy przed wersją 0.29.13 zawiera podatność na wstrzykiwanie poleceń w endpointach testowania poświadczeń rejestru i zarządzania klastrem Docker Swarm, gdzie wartości kontrolowane przez użytkownika są interpolowane do poleceń powłoki bez odpowiedniego cytowania. Podatna ścieżka zdalna używa execAsyncRemote, co pozwala na wykonanie dowolnych poleceń na zdalnych serwerach.

Dokploy przed wersją 0.29.13 zawiera podatność na wstrzykiwanie poleceń w funkcji writeTraefikConfigRemote, gdzie dane konfiguracji Traefik kontrolowane przez użytkownika są interpolowane do polecenia echo wykonywanego przez execAsyncRemote. Pojedyncze cudzysłowy w polach regex, nazwach użytkowników, domenach lub konfiguracji middleware mogą przerwać cytowanie i wykonać dowolne polecenia na zdalnych serwerach. Jest to niepełna poprawka CVE-2026-45630.

Dokploy przed wersją 0.29.13 zawiera podatność na wstrzykiwanie poleceń w subskrypcji backup.restoreBackupWithLogs, gdzie pola databaseName i backupFile są interpolowane do poleceń przywracania bazy danych bez odpowiedniego oddzielenia od składni powłoki. Uwierzytelniony użytkownik z uprawnieniami do przywracania kopii zapasowych może wstrzyknąć polecenia systemu operacyjnego wykonywane w kontekście hosta Dokploy.

Biblioteka use-reducer-async zawierała złośliwe commity w gałęzi domyślnej między 2026-05-18 a 2026-05-19, które wykonywały zdalnie kontrolowany kod podczas `npm install`. Kod pobierał payload JavaScript z zewnętrznego serwera, wyłączał weryfikację TLS i wykonywał go z uprawnieniami użytkownika. Atak celował w maszyny deweloperskie, pomijając środowiska CI i chmurowe.

Jaspersoft JasperReports Server zawiera podatność na nieautoryzowane odwołania do zewnętrznych encji XML (XXE). Podatność dotyczy wersji od 9.0.0 przed HF-9 i od 10.0.0 przed HF-10.

Biblioteka use-context-selector (hook React useContextSelector) zawierała złośliwe commity w gałęzi głównej, które wykonywały zdalny kod podczas instalacji npm. Atakujący kontrolował kod wykonywany na maszynach deweloperskich, a pakiety nie zostały opublikowane w npm, ale lokalne klony i forki mogą nadal zawierać złośliwy kod.

Metacat w wersjach 2.x do 2.19.1 oraz wszystkich 1.x zawiera podatność na nieuwierzytelniony path traversal w parametrze `archiveEntryName` w punkcie końcowym `action=read` w starym API 1.x. Atakujący może odczytać dowolny plik dostępny dla procesu Tomcat, wysyłając pojedyncze żądanie GET, ponieważ walidacja ścieżki jest pominięta, a kontrola uprawnień jest zakomentowana.

Instalator rozszerzeń OpenCart v4.2.0.0 nie sprawdza, czy ścieżki w plikach ZIP nie wychodzą poza katalog docelowy. Atakujący może stworzyć złośliwe rozszerzenie z sekwencjami typu ../, co pozwala na zapis plików, np. PHP web shell, w katalogu głównym serwera.

ReadyEcommerce przed wersją 4.5.2 zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL w API listy produktów, gdzie parametr rating jest bezpośrednio łączony z klauzulą HAVING w MySQL bez parametryzacji. Atakujący może wykorzystać ślepą iniekcję SQL opartą na czasie do wyodrębnienia całej bazy danych, w tym haseł administratora.

W jądrze Linux w podsystemie xfrm występuje podatność polegająca na nieaktualnym wskaźniku skb->prev po tym, jak asynchroniczne krypto przechwyci segment GSO. Gdy ostatni segment jest przechwytywany, wskaźnik ->prev głowy listy nie jest aktualizowany, co prowadzi do zapisu przez zwisający wskaźnik (use-after-free) w validate_xmit_skb_list(). Poprawka polega na ponownym ustawieniu skb->prev na ostatni zachowany segment przed zwróceniem.

W jądrze Linux w kliencie SMB (smb/client) występuje podatność w funkcji fallocate, która może pomijać dziury (holes) w plikach, gdy serwer zwraca zakres przydzielony zaczynający się przed bieżącym offsetem. Prowadzi to do sytuacji, w której późniejszy zapis do pominiętego obszaru może zakończyć się błędem ENOSPC.

W jądrze Linux na architekturze s390 występuje podatność w funkcji csum_partial(), która na maszynach bez wektorów oblicza sumę kontrolną z adresu zerowego zamiast z bufora źródłowego. Powoduje to błędne sumy kontrolne.