CVE-2026-72876 in Dokploy
Riassunto
di VulDB • 10/08/2026
Dokploy è una piattaforma Platform as a Service (PaaS) gratuita e auto-hostabile. Prima della versione 0.29.13, le funzioni swarm.getNodes, swarm.getNodeInfo, swarm.getNodeApps e swarm.getAppInfos in apps/dokploy/server/api/routers/swarm.ts accettano un serverId appartenente ad un’altra organizzazione senza effettuare il controllo di ownership tramite activeOrganizationId; inoltre, getNodeInfo in packages/server/src/services/docker.ts interpola nodeId all’interno di execAsyncRemote, consentendo a un chiamante con autorizzazione server:read di eseguire comandi arbitrari come l'utente SSH configurato sul server di un altro tenant. Questo problema è stato risolto nella versione 0.29.13.
If you want to get best quality of vulnerability data, you may have to visit VulDB.