PT-2026-48713 · Dokploy+1 · Dokploy+1
CVE-2026-47174
·
Publicado
2026-06-11
·
Atualizado
2026-06-11
CVSS v4.0
9.5
Crítica
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
Duck Site versões anteriores a 1.0.1
Description
Uma falha existe no fluxo de trabalho de implantação (deploy workflow) que é executado após a conclusão do fluxo de trabalho de compilação (build workflow). Enquanto o fluxo de compilação é acionado por pull requests, o fluxo de implantação possui permissões de escrita de pacote e segredos de implantação. Um invasor pode manipular a compilação de um pull request para satisfazer a condição de branch principal do fluxo de implantação. Isso permite que o trabalho de implantação realize o checkout do commit do fluxo de trabalho disparador, o compile em uma imagem Docker, a envie como a versão mais recente e acione a implantação do Dokploy. Consequentemente, código controlado por um invasor em um pull request pode se tornar a imagem do site de produção implantada sem ter sido mesclada ao branch principal.
Recommendations
Atualizar para a versão 1.0.1.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Dokploy
Duck-Site