CVE-2026-45405

Nome do Software Vulnerável e Versões Afetadas Dokku versões anteriores a 0.38.2

Description Os comandos git:from-archive e certs:add extraem arquivos tar ou zip fornecidos pelo usuário em diretórios temporários sem sanitizar os caminhos dos membros ou prevenir a travessia de links simbólicos (symlink traversal). Como o GNU tar cria links simbólicos durante a extração e os segue para entradas subsequentes, um invasor pode gravar arquivos arbitrários em qualquer local gravável pelo usuário dokku, como a sobrescrita do arquivo ~/.ssh/authorized keys para obter acesso irrestrito ao shell.

Recommendations Atualize para a versão 0.38.2.