CVE-2026-72901 in Dokploy
要約
〜によって VulDB • 2026年08月11日
Dokployは、無料で自己ホスト可能なPlatform as a Service (PaaS)です。バージョン0.29.13より前では、volumeBackup.createおよびvolumeBackup.runManuallyが受け入れるvolumeNameフィールドがpackages/server/src/utils/volume-backups/backup.ts内で引用符で囲まれずに補間され、child_process.execを通じて実行されるため、認証済みかつ低権限のメンバーが制御プレーンホスト上で任意のコマンドを実行できました。Dockerソケットへのアクセスにより、この実行はホスト/root同等の権限を持ちます。本問題はバージョン0.29.13で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.