Base de CVEs

CVE-2026-45632 Crítica · 9.9 CWE-78 29/05/2026

Dokploy: bypass de autorização em schedules permite execução de comandos

O Dokploy é uma Plataforma como Serviço (PaaS) gratuita e auto-hospedável. Nas versões 0.26.7 e anteriores, o roteador de schedules não aplica verificações de organização/papel. Como resultado, qualquer usuário autenticado pode criar, atualizar, executar ou excluir schedules pertencentes a outras organizações caso conheça o scheduleId/serverId. Os tipos de schedule server e dokploy-server gravam e executam scripts no host ou em servidores remotos, possibilitando RCE no host do Dokploy ou em um servidor alvo.

CVE-2026-45630 Crítica · 9.0 CWE-78 29/05/2026

Dokploy: Injeção de Comando no Sistema Operacional Autenticada em updateTraefikConfig Levando a Execução Remota de Código

Dokploy é uma Plataforma como Serviço (PaaS) gratuita e auto-hospedável. Nas versões 0.28.8 e anteriores, uma injeção de comando no sistema operacional autenticada no endpoint tRPC application.updateTraefikConfig permite que usuários com perfil admin/owner executem comandos arbitrários do sistema em servidores remotos, por meio de interpolação de shell no comando echo sem sanitização.

CVE-2026-45626 Média · 6.3 CWE-78 29/05/2026

Arcane: OS Command Injection in Volume Browser ListDirectory via path query parameter

Arcane is an interface for managing Docker containers, images, networks, and volumes. In 1.18.1 and earlier, GET /environments/{id}/volumes/{volumeName}/browse accepts a path query parameter that is passed to a shell command (sh -c "find … | while …") inside an Arcane helper container. The path sanitiser blocks ../ traversal but does not strip Bourne-shell metacharacters such as $() or backticks, and strconv.Quote only escapes Go string metacharacters, not shell substitution sequences. Any authenticated user with access to a browseable volume can execute arbitrary commands inside the helper container; command output is reflected back in the 500 error body.

CVE-2026-45629 Crítica · 9.9 CWE-78 29/05/2026

Dokploy: Execução Remota de Código Autenticada via Injeção de Comandos no Endpoint WebSocket /listen-deployment

Dokploy é uma Plataforma como Serviço (PaaS) gratuita e auto-hospedável. Nas versões 0.28.8 e anteriores, a injeção de comandos do sistema operacional autenticada no endpoint WebSocket /listen-deployment permite que qualquer membro de uma organização execute comandos arbitrários do sistema em servidores remotos gerenciados pelo Dokploy, levando ao comprometimento total do servidor.

CVE-2026-45662 Alta · 8.8 CWE-78 29/05/2026

Dokploy: Command Injection via incomplete shell escaping in docker logout (registry deletion)

Dokploy is a free, self-hostable Platform as a Service (PaaS). In 0.29.0 and earlier, the deleteRegistry function in Dokploy (packages/server/src/services/registry.ts) executes docker logout ${response.registryUrl} without shell escaping. In the same file, the docker login command correctly uses shEscape() to prevent command injection. This inconsistency creates a command injection vulnerability when deleting a registry with a crafted registryUrl.

CVE-2026-45578 Alta · 8.8 CWE-78 29/05/2026

WWBN AVideo Live: OS command injection in on_publish.php execAsync via unescaped m3u8 URL

WWBN AVideo is an open source video platform. In 29.0 and earlier, there is a classic shell-metacharacter injection. The YPTSocket notification branch in plugin/Live/on_publish.php builds an execAsync() command line by string concatenation, single-quoting each argument but never calling escapeshellarg(). A ' in any of the three interpolated values ($users_id, $m3u8, $obj->liveTransmitionHistory_id) closes the quoted token and lets the attacker append arbitrary commands.

CVE-2025-41281 Alta · 7.8 CWE-78 29/05/2026