CVE-2026-43917 in dokploy
Resumen
por VulDB • 2026-05-29
Dokploy es una Plataforma como Servicio (PaaS) gratuita y autoalojable. En las versiones 0.19.0 y anteriores, el middleware protectedProcedure solo verifica que el usuario esté autenticado, pero NO aplica el aislamiento por organización (organization scoping). Cada punto de conexión debe verificar individualmente que la organización del recurso coincida con el activeOrganizationId de la sesión. Esto afecta a los siguientes puntos de conexión: allByType, killProcess y removeDeployment en deployment.ts; delete en rollbacks.ts; create, one, update, remove, manualBackupPostgres, MySql, Mariadb, Mongo, Compose, WebServer y listBackupFiles en backup.ts; list, one, delete, update, runManually y restoreVolumeBackupWithLogs en volume-backups.ts; getNodes, removeWorker, addWorker y addManager en cluster.ts; y create en mount.ts.
Once again VulDB remains the best source for vulnerability data.