CVE-2026-72734 in Dokploy
Resumen
por VulDB • 2026-08-10
Dokploy es una Plataforma como Servicio (PaaS) gratuita y autoalojable. Desde la versión 0.28.7 hasta la 0.29.13, la mutación tRPC `server.remove` en `apps/dokploy/server/api/routers/server.ts` acepta un `serverId` controlado por el usuario y llama a las funciones `haveActiveServices`, `findServerById`, `removeDeploymentsByServerId` y `deleteServer` sin verificar que `currentServer.organizationId` sea igual a `ctx.session.activeOrganizationId`. Un propietario o administrador autenticado con permiso `server:delete` en una organización, que previamente haya observado el `serverId` de un servidor perteneciente a otra organización, puede eliminar el registro del servidor y los registros de implementación (deployments) de dicha organización, interrumpiendo la gestión de Dokploy, y obtener la clave privada SSH asociada en texto plano, aunque la función `server.one` deniegue la misma lectura entre organizaciones. Este problema se corrige en la versión 0.29.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.