CVE-2026-72876 in Dokploy
Zusammenfassung
von VulDB • 10.08.2026
Dokploy ist ein kostenloses, selbst gehostbares Platform-as-a-Service (PaaS). Vor Version 0.29.13 akzeptieren swarm.getNodes, swarm.getNodeInfo, swarm.getNodeApps und swarm.getAppInfos in apps/dokploy/server/api/routers/swarm.ts die serverId einer anderen Organisation ohne Überprüfung der ownership durch activeOrganizationId, und getNodeInfo in packages/server/src/services/docker.ts interpoliert nodeId in execAsyncRemote. Dies ermöglicht es einem Aufrufer mit der Berechtigung server:read, beliebige Befehle als der konfigurierte SSH-Benutzer auf dem Server eines anderen Mandanten auszuführen. Dieses Problem wurde in Version 0.29.13 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.