CVE-2026-93425
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Dokploy to bezpłatna platforma jako usługa (PaaS), którą można samodzielnie hostować. W wersjach wcześniejszych niż 0.29.13 procedura tRPC patch.readRepoDirectories przekazuje kontrolowaną przez użytkownika wartość repoPath z apps/dokploy/server/api/routers/patch.ts do polecenia powłoki w package/server/src/services/patch-repo.ts bez cytowania bezpiecznych argumentów. Uwierzytelniony członek organizacji z uprawnieniem service:read może wstrzykiwać metaznaki powłoki do repoPath i wykonywać dowolne polecenia za pośrednictwem child_process.exec jako root w kontenerze Dokploy. Podany identyfikator usługi jest używany wyłącznie do rozpoznania serwera i nie ogranicza repoPath. Ponieważ standardowe wdrożenie montuje plik /var/run/docker.sock, wykonanie polecenia kontenera głównego może zostać użyte do kontrolowania platformy Docker i narażenia hosta i zarządzanych przez niego aplikacji. Ten problem został rozwiązany w wersji 0.29.13.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org