Критична вразливість виконання команд у Dokploy до версії 0.29.13

Що відомо

У Dokploy до версії 0.29.13 поле dockerImage обробляється без належного екранування у shell-командах, що дозволяє автентифікованим користувачам з правами створення або оновлення застосунків виконувати довільні команди на локальному або віддаленому хості збірки. Це може призвести до викриття секретів хоста та інших проектів.

Бізнес-вплив

Вразливість з критичним рейтингом CVSS 9.6 дозволяє зловмисникам з обмеженими правами запускати довільні команди на хості збірки, що ставить під загрозу безпеку інфраструктури та конфіденційність даних. Це може призвести до компрометації секретів, порушення цілісності інших проектів і потенційних простоїв у роботі сервісів.

Рекомендовані дії адміністратора

Рекомендується негайно оновити Dokploy до версії 0.29.13 або новішої, де ця вразливість усунена. Якщо оновлення наразі неможливе, обмежте доступ користувачів із правами створення або оновлення застосунків, ретельно перевіряйте журнали на ознаки підозрілої активності та мінімізуйте мережеву експозицію хостів збірки. Для подальшої підтримки безпеки звертайтеся до DataHouse для перевірки версій, управління патчами та аналізу логів.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference