CVE-2026-72863

Nome do Software Vulnerável e Versões Afetadas Dokploy versões anteriores a 0.29.13

Descrição Os manipuladores de WebSocket utilizados para terminais integrados e fluxos de logs autenticam sessões através da função validateRequest(), mas não realizam a autorização. Como não consultam o modelo de funções e permissões imposto pelos procedimentos tRPC, qualquer membro autenticado pode abrir um shell interativo em qualquer container no host. Isso inclui o container Dokploy que monta o socket do Docker, permitindo potencialmente que um invasor obtenha acesso root no host, escape da aplicação e atravesse os limites de locatários (tenants).

Recomendações Atualizar para a versão 0.29.13.