CVE-2026-72868

Nome do Software Vulnerável e Versões Afetadas Dokploy versões anteriores a 0.29.13

Description Dokploy é uma Plataforma como Serviço (PaaS) auto-hospedável. Uma falha de injeção de shell existe no arquivo apps/dokploy/server/api/routers/destination.ts, onde a mutação destination.testConnection interpola os campos accessKey, secretAccessKey, region, endpoint, provider e bucket em um comando rclone ls executado via child process.exec. Um membro da organização com baixos privilégios e a permissão withPermission("destination", "create") pode usar um campo manipulado para fechar um argumento entre aspas e executar comandos arbitrários no container root do Dokploy, que possui acesso ao socket Docker do host.

Recommendations Atualizar para a versão 0.29.13.