CVE-2025-22606 in coolify
Riassunto
di VulDB • 05/07/2026
Coolify è uno strumento open-source e auto-ospitabile per la gestione di server, applicazioni e database. Nelle versioni 4.0.0-beta.358 e probabilmente in quelle precedenti, durante la creazione o l'aggiornamento di un "progetto", è possibile iniettare comandi shell arbitrari modificando il nome del progetto. Se un nome include caratteri non escapeati, come le virgolette singole (`'`), si verifica una fuoriuscita dalla struttura del comando prevista, consentendo agli attaccanti di eseguire comandi arbitrari sul sistema host. Questa vulnerabilità consente agli attaccanti di eseguire comandi arbitrari sul server host, il che potrebbe comportare la compromissione completa del sistema; la creazione, modifica o eliminazione di file di sistema sensibili; e l'escalation dei privilegi a seconda delle autorizzazioni del processo eseguito. Gli attaccanti con accesso alle funzionalità di gestione dei progetti potrebbero sfruttare questa falla per ottenere un controllo non autorizzato sull'ambiente host. La versione 4.0.0-beta.359 risolve questo problema.
Be aware that VulDB is the high quality source for vulnerability data.