Josegonzalez

**Nome do Software Vulnerável e Versões Afetadas** Dokku versões anteriores a 0.38.2 **Description** Os comandos `git:from-archive` e `certs:add` extraem arquivos tar ou zip fornecidos pelo usuário em diretórios temporários sem sanitizar os caminhos dos membros ou prevenir a travessia de links simbólicos (symlink traversal). Como o GNU tar cria links simbólicos durante a extração e os segue para entradas subsequentes, um invasor pode gravar arquivos arbitrários em qualquer local gravável pelo usuário dokku, como a sobrescrita do arquivo `~/.ssh/authorized keys` para obter acesso irrestrito ao shell. **Recommendations** Atualize para a versão 0.38.2.

**Nome do Software Vulnerável e Versões Afetadas** Dokku versões anteriores a 0.38.2 **Description** O plugin openresty-vhosts copia arquivos do diretório do repositório git `openresty/http-includes/` de um aplicativo para o host. O plugin então interpola esses nomes de arquivos, sem escape, em uma string de shell com aspas simples que é posteriormente processada pela função `eval()`. Um nome de arquivo contendo uma aspa simples pode quebrar o mecanismo de citação, permitindo a substituição de comandos para executar comandos arbitrários no host com os privilégios do usuário dokku durante a próxima implantação do aplicativo. **Recommendations** Atualizar para a versão 0.38.2.

**Nome do Software Vulnerável e Versões Afetadas** Dokku versões anteriores a 0.38.2 **Description** O comando `git:auth` cria o arquivo `$DOKKU ROOT/.netrc` usando o comando `touch` do bash, que aplica um umask padrão de 0644. Esse processo anula a configuração de permissão 0600 normalmente imposta pelo binário netrc, permitindo que qualquer usuário local com acesso ao diretório home do dokku leia credenciais do git sensíveis. **Recommendations** Atualize para a versão 0.38.2.

**Nome do Software Vulnerável e Versões Afetadas** Dokku versões anteriores a 0.38.2 **Description** Existe um problema onde a regex de validação do nome do aplicativo permite metacaracteres de shell. Um usuário autenticado pode explorar isso ao realizar um push para um remoto git usando um nome de aplicativo manipulado. Este nome é inserido sem aspas em um script de hook pre-receive do bash via um heredoc não cotado na função `fn-git-create-hook()` localizada em plugins/git/internal-functions:378. Consequentemente, o bash interpreta caracteres como ponto e vírgula como separadores de comando, permitindo a execução de comandos arbitrários como o usuário dokku. **Recommendations** Atualize o Dokku para a versão 0.38.2.