CVE-2026-54636: Injeção de comando do sistema no plugin cron do Dokku
A CVE-2026-54636 afeta o plugin cron do Dokku anteriores à versão 0.38.7, em que comandos declarados no app.json não são tratados com segurança e podem sair do contêiner para executar no host como usuário Dokku. O aviso classifica a falha como crítica, com pontuação 9,9 no NVD e 9 no GitHub. Não há exploração confirmada nas fontes consultadas, e a correção está disponível na versão 0.38.7.
Visão geral
O Dokku é uma plataforma como serviço baseada em Docker. Segundo o aviso do GitHub, o plugin cron gera entradas de cron do sistema, executadas com o usuário Dokku, a partir de comandos declarados no arquivo app.json. Nas versões anteriores à 0.38.7, caracteres especiais de shell nesses comandos não eram tratados com segurança, falha que a CNA classifica como injeção de comando no sistema operacional (CWE-78).
Impacto
A fonte descreve uma fuga do contêiner: comandos podem ser executados no host com o usuário Dokku. O vetor CVSS 3.1 do NVD é CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, que indica vetor de rede, baixa complexidade, baixo privilégio exigido, sem interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade. A pontuação do GitHub é 9.
Produtos e versões afetadas
- Dokku, versões anteriores à 0.38.7.
O registro não informa outras faixas de versões afetadas nem distribuições específicas.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro analisado. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,00529, com percentil de 0,43202.
Correção e mitigação
- Atualize o Dokku para a versão 0.38.7 ou posterior, conforme indicado no aviso e na referência da correção.
- Revise as entradas de cron definidas no app.json das aplicações implantadas e remova comandos inesperados ou desnecessários até concluir a atualização.
- Restrinja quem pode enviar alterações de aplicações à plataforma, já que os comandos de cron vêm da configuração da aplicação.
Orientações de detecção
- Audite as entradas de cron do sistema criadas para o usuário Dokku e compare-as com os arquivos app.json das aplicações implantadas.
- Procure tarefas de cron com redirecionamentos de shell ou separadores de comando que não tenham sido definidos intencionalmente pelo responsável da aplicação.
- Monitore o host em busca de processos inesperados iniciados pelo usuário Dokku.
Limitações das informações disponíveis
O registro não traz descrição de prova de conceito além da afirmação geral, não confirma quais distribuições ou configurações de implantação do Dokku são afetadas e não documenta nenhuma alternativa além da atualização. O título estava ausente no registro de origem e foi redigido pelo analista a partir da descrição.
Perguntas frequentes
Quais versões do Dokku são afetadas pela CVE-2026-54636?
O registro indica que as versões do Dokku anteriores à 0.38.7 são afetadas.
Existe correção para esta vulnerabilidade?
O registro informa que a falha foi corrigida na versão 0.38.7 e referencia um pull request de correção no repositório do Dokku.
Esta vulnerabilidade é conhecidamente explorada na prática?
A CVE não aparece no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.