CVE-2025-22606
Açıklama
Coolify; sunucuları, uygulamaları ve veritabanlarını yönetmek için kullanılan açık kaynaklı ve kendi kendine barındırılabilir bir araçtır. Versiyon 4.0.0-beta.358 ve muhtemelen daha önceki versiyonlarda, bir "proje" oluşturulurken veya güncellenirken proje adının değiştirilmesi yoluyla rastgele kabuk komutları enjekte etmek mümkündür. Eğer isim tek tırnak (`'`) gibi kaçış karakteri uygulanmamış karakterler içeriyorsa, hedeflenen komut yapısını bozarak saldırganların ana sistem üzerinde rastgele komutlar çalıştırmasına izin verir. Bu güvenlik açığı, saldırganların ana sunucu üzerinde rastgele komutlar çalıştırmasına olanak tanır; bu durum tam sistem ele geçirilmesine, hassas sistem dosyalarının oluşturulmasına, değiştirilmesine veya silinmesine ve yürütülen işlemin izinlerine bağlı olarak yetki yükseltmeye yol açabilir. Proje yönetim özelliklerine erişimi olan saldırganlar, ana ortam üzerinde yetkisiz kontrol sağlamak için bu açıktan yararlanabilir. Versiyon 4.0.0-beta.359 bu sorunu gidermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coollabs coolify | 4.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.