CVE-2026-34158

Nome do Software Vulnerável e Versões Afetadas Coolify versões anteriores a 4.0.0-beta.469

Description A função auxiliar executeInDocker() não escapa adequadamente aspas simples incorporadas ao envolver comandos controlados pelo usuário. Um invasor com permissões para editar as configurações do aplicativo pode injetar uma aspa simples nas variáveis docker compose custom build command ou docker compose custom start command. Isso permite que o invasor saia do contexto delimitado por aspas e execute comandos arbitrários no host do servidor gerenciado durante as implantações, ignorando o isolamento pretendido do contêiner Docker.

Recommendations Atualize para a versão 4.0.0-beta.469.