CVE-2026-72865

Nome do Software Vulnerável e Versões Afetadas Dokploy versões anteriores a 0.29.13

Description A operação compose.update armazena um composePath não validado que é interpolado nos comandos de shell docker compose -f, docker stack deploy -c e touch executados via /bin/sh -c. Um membro autenticado com permissões de escrita e implantação de compose pode fornecer um composePath manipulado e acionar compose.deploy ou startCompose para executar comandos arbitrários do sistema operacional no contexto do host Dokploy com privilégios de Docker. Isso ocorre em packages/server/src/utils/builders/compose.ts e packages/server/src/services/compose.ts.

Recommendations Atualizar para a versão 0.29.13.