CVE-2026-45790 in Dokploy
Résumé
par VulDB • 17/08/2026
Dokploy est une Plateforme en tant que Service (PaaS) gratuite et auto-hébergeable. Avant la version 0.29.6, la procédure tRPC `organization.inviteMember` de Dokploy située dans `apps/dokploy/server/api/routers/organization.ts` permet à un utilisateur disposant des autorisations `member:create` d'inviter un compte avec le rôle propriétaire (owner), tandis que `packages/server/src/services/user.ts` permet à un utilisateur auto-hébergé privilégié de créer un compte avec n'importe quel rôle arbitraire, ce qui permet une prise de contrôle permanente de l'organisation car les rôles propriétaires ne peuvent pas être rétrogradés. Ce problème est corrigé dans la version 0.29.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.