Критична вразливість командної ін’єкції в Dokploy (CVE-2026-45633)

Що відомо

У Dokploy версії 0.26.6 та раніших виявлено критичну вразливість командної ін’єкції в WebSocket-ендпоінті /docker-container-logs. Параметри tail і since не перевіряються належним чином, що дозволяє автентифікованим користувачам виконувати довільні команди з правами root.

Бізнес-вплив

Ця вразливість може призвести до повного компрометації системи, оскільки зловмисник із автентифікацією може виконувати команди з правами адміністратора. Для організацій, що використовують Dokploy, це створює серйозний ризик витоку даних, порушення цілісності та доступності сервісів.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень від розробника Dokploy та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до WebSocket-ендпоінту /docker-container-logs, провести аудит логів на ознаки зловживань, а також впровадити додаткові заходи контролю доступу та моніторинг активності користувачів.

Джерела

• NVD
• Reference