CVE-2026-41896

Nome do Software Vulnerável e Versões Afetadas Coolify versões anteriores a 4.0.0-beta.474

Description Existe um problema onde o campo manual webhook secret github, utilizado pelos endpoints de webhook para validar requisições recebidas, é anulável e não possui um valor padrão. Para aplicações recém-criadas, este segredo permanece nulo. Como a função hash hmac() do PHP converte uma chave nula em uma string vazia, o servidor gera um hash determinístico que pode ser calculado independentemente. Um invasor não autenticado pode explorar isso fornecendo uma assinatura forjada no cabeçalho X-Hub-Signature-256 para disparar implantações não autorizadas.

Recommendations Atualize para a versão 4.0.0-beta.474.