Критична вразливість ін’єкції команд у Dokploy до версії 0.29.1

Що відомо

У Dokploy версії 0.29.1 і раніше виявлено критичну вразливість ін’єкції команд у функції завантаження файлів Docker. Аутентифікований користувач може використати недостатню санітизацію параметра destinationPath для виконання довільних команд ОС на хості.

Бізнес-вплив

Ця вразливість дозволяє зловмиснику з правами аутентифікованого користувача виконувати довільні операції на сервері, що може призвести до повного контролю над інфраструктурою, втрати даних або порушення роботи сервісу. Власники контейнерної платформи повинні розглянути ризики та пріоритетність виправлення для захисту своїх систем.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень від розробника Dokploy і застосувати їх. Якщо оновлення недоступні, слід обмежити доступ аутентифікованих користувачів до функції завантаження файлів, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію сервісу в мережі.

Джерела

• NVD
• Reference