CVE-2026-57498: Coolify: bypass de autorização entre equipes (IDOR) em componentes Livewire da interface

Visão geral

O Coolify é uma ferramenta de código aberto e autohospedável para gerenciar servidores, aplicações e bancos de dados. Segundo o aviso no GitHub, seus controladores de API verificam a propriedade do servidor em relação à equipe do usuário antes de agir, mas vários componentes Livewire da interface web aceitam identificadores de servidor e de destino a partir de parâmetros da URL sem essa verificação. O resultado é uma lacuna de autorização entre equipes, classificada como CWE-639, corrigida na 4.0.0-beta.474.

Impacto

A falha permite a implantação de recursos entre equipes. O vetor CVSS 3.1 é AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N, que descreve um problema acessível pela rede, com baixa complexidade de ataque, baixo privilégio exigido, sem interação do usuário, escopo alterado e alto impacto na confidencialidade e na integridade.

O vetor classifica os impactos de confidencialidade e integridade como altos.
O impacto na disponibilidade é classificado como nulo no vetor.
O componente PR:L indica que é necessário algum acesso de baixo privilégio.

Produtos e versões afetados

O produto afetado é o Coolify. A descrição informa que versões anteriores à 4.0.0-beta.474 são afetadas. A lista estruturada de versões afetadas no registro está vazia, portanto a faixa exata de versões anteriores não é confirmada além dessa afirmação.

Status de exploração

O registro não inclui esta vulnerabilidade no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,0038, com percentil de 0,30149, o que representa uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Atualize o Coolify para a 4.0.0-beta.474 ou para uma versão posterior que inclua a correção.
Enquanto a atualização não for aplicada, restrinja o acesso à interface web a usuários e redes de confiança.
Revise os membros das equipes e as implantações recentes entre equipes em busca de atividade inesperada.
Consulte o aviso de segurança no GitHub para orientações do mantenedor.

Orientação para detecção

Audite ações de implantação e configuração e confirme se o servidor ou destino pertence à equipe do usuário que executou a ação.
Revise a atividade da interface web em busca de identificadores que não correspondam à equipe do usuário solicitante.
Correlacione os logs da aplicação com os registros de membros das equipes para identificar divergências de propriedade.

Limitações das informações disponíveis

O registro não traz uma lista estruturada de versões afetadas ou corrigidas além da descrição, nem notas detalhadas de correção do fornecedor e nenhuma informação sobre a disponibilidade pública de exploits. Os dados CVSS vêm da fonte GitHub Security Advisories, e o status do registro é Deferred. Não é possível saber se a falha pode ser alcançada sem nenhuma conta.

Perguntas frequentes

Esta vulnerabilidade do Coolify já foi corrigida?

Segundo a descrição do registro, sim, ela foi corrigida na 4.0.0-beta.474. As versões anteriores a essa são descritas como afetadas.

A CVE-2026-57498 está sendo explorada na prática?

O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer primeiro?

Atualizar o Coolify para a 4.0.0-beta.474 ou uma versão posterior e restringir o acesso à interface web até concluir a atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.