CVE-2026-41896

Coolify; sunucuları, uygulamaları ve veritabanlarını yönetmek için kullanılan açık kaynaklı ve kendi kendine barındırılabilir bir araçtır. 4.0.0-beta.474 sürümünden önce, Coolify'ın webhook uç noktalarının gelen istekleri doğrulamak için kullandığı HMAC anahtarı olan uygulamanın manual_webhook_secret_github alanı, varsayılan değeri olmayan boş bırakılabilir (nullable) bir alandır; bu durum, yeni oluşturulan uygulamaların null değerinde bir webhook sırrına sahip olduğu anlamına gelir. PHP'nin hash_hmac() fonksiyonu, null bir anahtarı sessizce boş bir dizeye ('') dönüştürür. Bu nedenle sır null olduğunda, sunucu herhangi bir saldırganın bağımsız olarak hesaplayabileceği deterministik bir değer olan hash_hmac('sha256', $payload, '') işlemini gerçekleştirir. Kimliği doğrulanmamış bir saldırgan, X-Hub-Signature-256: sha256=<hash_hmac('sha256', payload, '')> başlığını göndererek geçerli bir imza taklit edebilir ve dağıtımları tetikleyebilir. Bu güvenlik açığı 4.0.0-beta.474 sürümünde giderilmiştir.