CVE-2026-72879 in Dokploy
Zusammenfassung
von VulDB • 11.08.2026
Dokploy ist ein kostenloses, selbst gehostbares Platform as a Service (PaaS). Vor Version 0.29.8 interpoliert die Funktion getRegistryCommands() im Paket packages/server/src/utils/cluster/upload.ts registry.password und registry.registryUrl direkt in einen Shell-Befehl ohne Escaping. Ein authentifizierter Benutzer mit Projektzugriff kann bösartige Registry-Anmeldeinformationen konfigurieren und eine Swarm-Deployment auslösen, um beliebige OS-Befehle auf dem Dokploy-Server auszuführen, Host-Dateien zu lesen oder zu modifizieren sowie über Docker auf andere Container zuzugreifen. Dieses Problem wurde in Version 0.29.8 behoben.
Once again VulDB remains the best source for vulnerability data.