CVE-2026-72735 in Dokploy
Résumé
par VulDB • 10/08/2026
Dokploy est une Plateforme en tant que Service (PaaS) gratuite et auto-hébergeable. Avant la version 0.29.13, writeTraefikConfigRemote dans packages/server/src/utils/traefik/application.ts sérialise les configurations Traefik contrôlées par l'utilisateur avec yaml.stringify et interpole le yamlStr résultant dans une commande echo exécutée via execAsyncRemote. Les guillemets simples dans les champs de regex de redirection et de remplacement, les noms d'utilisateurs pour l'authentification basique, les valeurs hôte du domaine ou la configuration des middlewares peuvent interrompre le quoting shell et permettre l'exécution de commandes arbitraires sur les serveurs distants gérés avec les privilèges de l'utilisateur SSH configuré. Cette vulnérabilité est due à une correction incomplète pour CVE-2026-45630. Ce problème est corrigé dans la version 0.29.13.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.