CVE-2026-45663
Açıklama
Dokploy, ücretsiz ve kendi sunucunuzda barındırabileceğiniz bir Platform as a Service (PaaS) çözümüdür. 0.29.1 ve önceki sürümlerde, Docker dosya yükleme işlevinde bir komut enjeksiyonu zafiyeti bulunmaktadır. Kimliği doğrulanmış bir kullanıcı bir konteynere dosya yüklediğinde, destinationPath parametresi uygun şekilde temizlenmemekte ve doğrudan bir kabuk komutu dizisine eklenmektedir. Bir saldırgan; veya " gibi kabuk meta karakterleri kullanarak hedeflenen docker cp komutundan çıkabilir ve Dokploy ana makinesinde rastgele işletim sistemi komutları çalıştırabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Dokploy dokploy | <= 0.29.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.