CVE-2026-27130: Injeção de comando no SO no Dokploy via appName

Visão geral

O Dokploy é uma Plataforma como Serviço autohospedável. Segundo o aviso do GitHub referenciado no registro, as versões 0.26.6 e anteriores são afetadas por uma falha de injeção de comando no sistema operacional acionada pelo parâmetro appName. A fraqueza é classificada como CWE-78 e foi corrigida na versão 0.26.7.

Impacto

Confirmado: o registro informa que um usuário autenticado pode fornecer um nome de aplicação manipulado durante a criação de uma aplicação, e que esse nome é usado posteriormente em comandos de shell quando operações de serviço como iniciar, parar, remover e escalar são executadas.
Inferência: uma exploração bem-sucedida executaria comandos com privilégios de nível de servidor, o que é coerente com as altas classificações de confidencialidade, integridade e disponibilidade no vetor CVSS 3.1.

Produtos e versões afetadas

Produto: Dokploy Dokploy.
Afetado: versões anteriores à 0.26.7 (a descrição cita 0.26.6 e anteriores).
Corrigido: 0.26.7.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas.
O campo de exploração SSVC do registro está definido como poc, o que indica que pode existir uma prova de conceito. Trata-se de um valor do registro, não da confirmação de ataques.
A probabilidade EPSS no registro é 0,01219, com percentil de 0,68445.

Correção e mitigação

Atualize o Dokploy para a versão 0.26.7 ou superior.
Até a atualização, restrinja quem pode criar ou modificar aplicações e revise nomes de aplicações existentes em busca de caracteres inesperados.
Revise operações de serviço em instâncias afetadas em busca de comportamento inesperado.

Orientações de detecção

Audite registros de aplicações em busca de nomes com caracteres significativos para o shell ou incomuns.
Revise os logs do servidor em torno da criação de aplicações e dos eventos de iniciar, parar, remover e escalar em busca de processos ou comandos inesperados.
Monitore os hosts afetados em busca de conexões de saída inesperadas ou alterações de configuração.

Limitações das informações disponíveis

O campo de correções do registro está vazio. A versão corrigida foi obtida da descrição e da entrada de afetados.
O registro não fornece assinaturas de detecção nem indicadores de comprometimento.
O registro marca o status da fonte como Deferred, e o commit referenciado não foi descrito em detalhes.
Esta análise se baseia apenas no registro fornecido e nas referências listadas.

Perguntas frequentes

Quais versões do Dokploy são afetadas pelo CVE-2026-27130?

O registro indica que as versões 0.26.6 e anteriores são afetadas, e a entrada de afetados lista versões anteriores à 0.26.7.

Existe correção para esta vulnerabilidade?

Sim. A descrição informa que o problema foi resolvido na versão 0.26.7, por isso a atualização para essa versão ou superior é a correção recomendada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.