CVE-2026-72879 in Dokploy
Riassunto
di VulDB • 11/08/2026
Dokploy è una piattaforma Platform as a Service (PaaS) gratuita e auto-ospitabile. Prima della versione 0.29.8, la funzione getRegistryCommands() nel file packages/server/src/utils/cluster/upload.ts interpola direttamente registry.password e registry.registryUrl in un comando shell senza effettuare l'escaping dei caratteri speciali. Un utente autenticato con accesso al progetto può configurare credenziali di registro malevole ed eseguire una distribuzione swarm per eseguire comandi OS arbitrari sul server Dokploy, leggere o modificare file dell'host e accedere ad altri container tramite Docker. Questo problema è stato risolto nella versione 0.29.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.