CVE-2026-72867
Publiée le 2026-08-10 · Dernière modification le 2026-08-13
Les installations de Dokploy comprises entre les versions 0.29.3 et 0.29.13 sont vulnérables à l'exécution de code à distance sur le serveur hôte. Un attaquant disposant d'un compte avec des privilèges limités peut injecter des commandes malveillantes dans les champs relatifs aux branches Git, lesquelles sont ensuite exécutées par le système lors d'un déploiement. Cette exploitation est facile à réaliser via le réseau et ne nécessite qu'une authentification basique, sans aucune interaction supplémentaire de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Dokploy is a free, self-hostable Platform as a Service (PaaS). From 0.29.3 until 0.29.13, the incomplete fix for CVE-2026-45628 leaves packages/server/src/db/schema/compose.ts branch fields without server-side validation, allowing a direct compose.update request to store a malicious customGitBranch, branch, gitlabBranch, bitbucketBranch, or giteaBranch. A low-privileged authenticated user can trigger compose.deploy, which passes the stored branch to shell-based Git clone commands in packages/server/src/utils/providers/git.ts, github.ts, gitlab.ts, bitbucket.ts, and gitea.ts, resulting in arbitrary host command execution. This issue is fixed in version 0.29.13.