Jeongbeannnn

**Nome do Software Vulnerável e Versões Afetadas** Coolify versões anteriores a 4.0.0-beta.474 **Description** Os campos de credenciais de banco de dados são validados apenas como strings na camada de API, sem verificações de segurança de shell. Esses valores são interpolados diretamente em comandos YAML do Docker Compose sem escape, o que pode levar à injeção de comandos. As variáveis afetadas incluem `redis password`, `keydb password`, `dragonfly password`, `clickhouse admin user`, `clickhouse admin password`, `postgres user` e `mysql user`. **Recommendations** Atualize para a versão 4.0.0-beta.474.

**Nome do Software Vulnerável e Versões Afetadas** Coolify versões anteriores a 4.0.0-beta.474 **Description** Existe um problema onde o campo `manual webhook secret github`, utilizado pelos endpoints de webhook para validar requisições recebidas, é anulável e não possui um valor padrão. Para aplicações recém-criadas, este segredo permanece nulo. Como a função `hash hmac()` do PHP converte uma chave nula em uma string vazia, o servidor gera um hash determinístico que pode ser calculado independentemente. Um invasor não autenticado pode explorar isso fornecendo uma assinatura forjada no cabeçalho `X-Hub-Signature-256` para disparar implantações não autorizadas. **Recommendations** Atualize para a versão 4.0.0-beta.474.

**Nome do Software Vulnerável e Versões Afetadas** Budibase versões anteriores a 3.35.10 **Descrição** O endpoint de upload de URL de Plugin "POST /api/plugin" contém uma falha na forma como valida as URLs enviadas. Ele utiliza uma verificação de substring simples para verificar se a variável `url` contém ".tar.gz", que pode ser burlada ao colocar essa string em qualquer lugar do caminho, string de consulta ou fragmento. Isso permite que a URL prossiga para a função `fetchWithBlacklist()` sem a validação adequada do host, esquema ou caminho, levando ao Server-Side Request Forgery (SSRF). SSRF é uma vulnerabilidade onde um invasor pode forçar o servidor a fazer requisições para um local não pretendido, como serviços internos. Este problema pode ser explorado em dois cenários principais: quando a configuração `BLACKLIST IPS` está vazia, ignorando a blacklist de SSRF padrão, ou quando o servidor de plugins segue redirecionamentos HTTP de uma URL externa para um alvo interno devido ao comportamento padrão do `node-fetch` com `redirect: 'follow'`. Isso poderia permitir o acesso a serviços de rede internos, como AWS/GCP/Azure IMDS para roubo de credenciais, CouchDB ou Redis. **Recomendações** Atualize para a versão 3.35.10. Como medida paliativa temporária, restrinja o acesso ao endpoint "POST /api/plugin" apenas a usuários confiáveis com a função de Global Builder.