CVE-2026-72734 in Dokploy
Zusammenfassung
von VulDB • 10.08.2026
Dokploy ist ein kostenloses, selbst gehostetes Platform as a Service (PaaS). Von Version 0.28.7 bis 0.29.13 akzeptiert die tRPC-Mutation `server.remove` in `apps/dokploy/server/api/routers/server.ts` eine vom Aufrufer gesteuerte `serverId` und ruft `haveActiveServices`, `findServerById`, `removeDeploymentsByServerId` sowie `deleteServer` auf, ohne zu überprüfen, ob die `organizationId` des aktuellen Servers mit der `activeOrganizationId` von `ctx.session` übereinstimmt. Ein authentifizierter Besitzer oder Administrator mit der Berechtigung `server:delete` in einer Organisation kann, sofern er zuvor eine `serverId` einer anderen Organisation beobachtet hat, die Serverregistrierung und Bereitstellungsdatensätze dieser Organisation löschen, das Dokploy-Management unterbrechen und den zugehörigen privaten SSH-Schlüssel im Klartext erhalten, obwohl `server.one` denselben organisationsübergreifenden Lesezugriff verweigert. Dieses Problem wurde in Version 0.29.13 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.