CVE-2026-72734

Nome do Software Vulnerável e Versões Afetadas Dokploy versões 0.28.7 até 0.29.12

Descrição A mutação tRPC server.remove em apps/dokploy/server/api/routers/server.ts aceita um serverId controlado pelo chamador e executa as funções haveActiveServices(), findServerById(), removeDeploymentsByServerId() e deleteServer() sem verificar se o currentServer.organizationId corresponde ao ctx.session.activeOrganizationId. Isso permite que um proprietário ou administrador autenticado com permissões de server:delete em uma organização exclua os registros de implantação e registro de servidor de outra organização, caso tenha obtido previamente o serverId dessa organização. Essa ação pode interromper o gerenciamento e expor a chave privada SSH em texto simples associada.

Recomendações Atualizar para a versão 0.29.13.