CVE-2026-72737

Nome do Software Vulnerável e Versões Afetadas Dokploy versões anteriores a 0.29.9

Descrição Existe um problema onde a aplicação falha ao verificar se o destination.organizationId corresponde ao ctx.session.activeOrganizationId ao processar requisições. Isso permite que um membro autenticado com permissões de backup em uma organização manipule o parâmetro destinationId para acessar recursos de outra organização. Isso pode levar à exposição do accessKey e secretAccessKey do S3 através da função getS3Credentials(), leitura não autorizada de objetos de backup ou o redirecionamento e envenenamento de backups entre limites de locatários. Os endpoints de API afetados são 'backup.create', 'backup.update' e 'backup.restoreBackupWithLogs'.

Recomendações Atualize o Dokploy para a versão 0.29.9 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints 'backup.create', 'backup.update' e 'backup.restoreBackupWithLogs' apenas a administradores altamente confiáveis.