CVE-2025-22606

Coolify serverlərin, tətbiqlərin və verilənlər bazalarının idarə edilməsi üçün açıq mənbəli və özünə quraşdırıla bilən bir alətdir. Versiya 4.0.0-beta.358 və bəlkə də daha erkən versiyalarda, "layihə" yaradarkən və ya yeniləyərkən layihə adını dəyişdirərək ixtiyari shell əmrlərini yeritmək mümkündür. Əgər ad tək dırnaq (`'`) kimi escape edilməmiş simvollar ehtiva edirsə, bu, nəzərdə tutulmuş əmr strukturunu pozaraq hücumçulara host sistemində ixtiyari əmrləri icra etməyə imkan verir. Bu zəiflik hücumçuların host serverdə ixtiyari əmrləri icra etməsinə şərait yaradır ki, bu da sistemin tamamilə ələ keçirilməsinə, həssas sistem fayllarının yaradılmasına, dəyişdirilməsinə və ya silinməsinə və icra olunan prosesin icazələrindən asılı olaraq imtiyazların yüksəldilməsinə səbəb ola bilər. Layihələrin idarə edilməsi funksiyalarına çıxışı olan hücumçular bu boşluqdan istifadə edərək host mühiti üzərində icazəsiz nəzarət əldə edə bilərlər. Versiya 4.0.0-beta.359 bu problemi aradan qaldırır.