PT-2026-53734

CVE-2026-57498

Publicado

2026-06-29

Atualizado

2026-06-30

Descrição por

CVSS 3.1

9.6

Crítica

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Coolify versões anteriores a 4.0.0-beta.474

Description Múltiplos componentes da interface web Livewire não validam a propriedade da equipe ao processar server id e destination uuid passados via parâmetros de consulta de URL. Embora os controladores de API utilizem corretamente a função Server::whereTeamId($teamId) para verificar a propriedade, a ausência de verificações semelhantes na interface web permite a implantação de recursos entre equipes, concedendo acesso não autorizado a operações de servidor, aplicativo e banco de dados. Mais de 183.000 dispositivos potencialmente afetados foram identificados em todo o mundo.

Recommendations Atualize para a versão 4.0.0-beta.474.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Axel-Corsiez

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

CWE-639: Authorization Bypass Through User-Controlled Key