CVE-2026-45408: Injeção de comando do SO no Dokku PaaS via nome de app malicioso no git push

Visão geral

O Dokku é uma PaaS baseada em Docker. A CVE-2026-45408 descreve uma falha de injeção de comando no SO (CWE-78) no tratamento de nomes de aplicações durante um git push. A validação do nome permite metacaracteres de shell, e o nome é inserido em um script de hook pre-receive gerado sem a devida proteção por aspas. O registro informa que a correção está disponível na versão 0.38.2.

Impacto

O vetor CVSS 3.1 atribuído pela CNA descreve um ataque acessível pela rede, de baixa complexidade, com privilégios baixos exigidos, interação do usuário necessária e escopo alterado.
O registro classifica o impacto na confidencialidade, integridade e disponibilidade como alto.
Segundo a descrição, a exploração bem-sucedida executa comandos arbitrários como o usuário dokku no servidor.

Produtos e versões afetados

Produto: Dokku (listado como Dokku Dokku no registro).
Faixa afetada no registro: versões anteriores à 0.38.2.
Versão corrigida segundo o registro: 0.38.2. O aviso do fornecedor é a fonte definitiva sobre os detalhes exatos da versão.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro fornecido, portanto não há exploração ativa confirmada nas fontes consultadas. A probabilidade EPSS é 0,00419, com percentil de 0,34403 na data do registro. O EPSS é uma estimativa preditiva e não confirma exploração.

Correção e mitigação

Atualize o Dokku para a versão 0.38.2 ou posterior, conforme o registro e o aviso do fornecedor.
Restrinja quais contas podem fazer push para os remotos git do Dokku, já que a falha exige um usuário autenticado.
Revise os nomes de aplicações existentes em busca de caracteres inesperados e investigue os que não seguem o padrão esperado.
O registro não descreve uma solução alternativa. Considere qualquer solução alternativa como desconhecida até confirmação do fornecedor.

Orientações para detecção

Revise os logs de git push e a saída dos hooks de deploy em busca de caracteres incomuns ou saídas inesperadas nos nomes de aplicações.
Audite a lista de aplicações do Dokku e seus nomes em busca de entradas fora do formato esperado.
Monitore a conta de sistema dokku em busca de processos ou alterações de arquivos que não sejam explicados por deploys normais.

Limitações das informações disponíveis

O registro fornecido não tem título em inglês, então o título desta análise foi escrito a partir da descrição.
O registro não fornece solução alternativa, pré-requisitos de exploração além da descrição nem relatos confirmados de exploração.
A data do EPSS no registro é posterior à data de publicação, e esta análise não concilia essa diferença.
O aviso do fornecedor e o pull request de correção não foram revisados integralmente; apenas suas URLs constam no registro.

Perguntas frequentes

O que é a CVE-2026-45408?

É uma vulnerabilidade de injeção de comando no SO no Dokku, uma PaaS baseada em Docker. Segundo o registro, um usuário autenticado pode usar um nome de aplicação elaborado durante o git push para executar comandos arbitrários como o usuário dokku.

Quais versões são afetadas?

O registro lista as versões do Dokku anteriores à 0.38.2 como afetadas. A correção é informada na versão 0.38.2.

Esta vulnerabilidade está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE no registro fornecido, portanto não há exploração ativa confirmada nas fontes consultadas.

O que os administradores devem fazer?

Atualizar o Dokku para a versão 0.38.2 ou posterior, restringir quais contas podem fazer push para os remotos git e revisar os nomes de aplicações existentes em busca de caracteres inesperados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.