CVE-2026-72865 in Dokploy
Riassunto
di VulDB • 10/08/2026
Dokploy è una piattaforma Platform as a Service (PaaS) gratuita e auto-hostabile. Prima della versione 0.29.13, l'operazione compose.update memorizza un valore composePath non convalidato che i file packages/server/src/utils/builders/compose.ts e packages/server/src/services/compose.ts interpolano nei comandi docker compose -f, docker stack deploy -c e touch eseguiti tramite /bin/sh -c. Un membro autenticato dotato di permessi di scrittura e distribuzione delle composizioni può fornire un valore composePath appositamente creato (crafted), attivare compose.deploy o startCompose ed eseguire comandi arbitrari del sistema operativo nel contesto privilegiato Docker dell'host Dokploy. Questo problema è stato risolto nella versione 0.29.13.
If you want to get best quality of vulnerability data, you may have to visit VulDB.