Podatności Coolify

W Coolify przed wersją 4.0.0-beta.474 klucz HMAC dla webhooków GitHub może być pusty (null), co powoduje użycie pustego ciągu znaków jako klucza. Atakujący może obliczyć poprawny podpis i wywołać nieautoryzowane wdrożenia.

W Coolify przed wersją 4.0.0-beta.470 odkryto krytyczną podatność na zdalne wykonanie kodu (RCE) przez uwierzytelnionego atakującego. Problem polega na bezpośrednim łączeniu parametru install_command z poleceniem powłoki podczas budowania z użyciem Nixpacks, co pozwala na wykonanie dowolnych poleceń na hoście docelowym.

W Coolify przed wersją 4.0.0-beta.471 wykryto podatność na wstrzykiwanie poleceń w funkcji zarządzania siecią docelową. Uwierzytelniony użytkownik z uprawnieniami do zarządzania siecią może przekazać złośliwy parametr "network", który jest bezpośrednio wykonywany w powłoce, co pozwala na zdalne wykonanie kodu jako root na zarządzanym serwerze.

Coolify to narzędzie open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 istnieje podatność, która pozwala atakującemu zainicjować reset hasła ofiary i zmodyfikować nagłówek Host w żądaniu na złośliwą wartość. Ofiara otrzyma e-mail z linkiem do złośliwego hosta, a po kliknięciu token resetu zostanie wysłany na serwer atakującego, co umożliwia przejęcie konta.

Coolify to narzędzie typu open-source do samodzielnego zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 włącznie, w polach źródła git zasobu występuje podatność na wstrzyknięcie poleceń, umożliwiająca użytkownikowi z niskimi uprawnieniami (członek) wykonanie poleceń systemowych jako root na instancji Coolify. Na dzień publikacji nie jest jasne, czy dostępna jest poprawka.

Coolify to narzędzie open-source do zarządzania serwerami, aplikacjami i bazami danych. W wersjach do v4.0.0-beta.434 włącznie, użytkownik z niskimi uprawnieniami (członek) może zobaczyć i użyć linków zaproszeniowych wysłanych do administratora. Jeśli użyje linku przed uprawnionym odbiorcą, może zalogować się jako administrator, co prowadzi do eskalacji uprawnień.

Coolify (od wersji 4.0.0-beta.434) ma podatność na obejście limitu szybkości na endpointcie /login poprzez rotację nagłówka X-Forwarded-For. Umożliwia to nieograniczone próby zgadywania haseł (credential stuffing) i ataki brute-force na konta użytkowników i administratorów.

Coolify do wersji v4.0.0-beta.434 zawiera podatność, która pozwala użytkownikowi z niskimi uprawnieniami (członek) zaprosić użytkownika z wysokimi uprawnieniami (administratora). Mimo że pierwsza próba zaproszenia kończy się błędem, ponowne kliknięcie przycisku zaproszenia powoduje powodzenie operacji. Dzięki temu atakujący może zaprosić siebie jako administratora, a następnie zresetować hasło i zalogować się z uprawnieniami administratora.

Coolify w wersjach do v4.0.0-beta.420.8 włącznie ma podatność ujawnienia informacji w endpointach API `/api/v1/teams/{team_id}/members` oraz `/api/v1/teams/current/members`. Uwierzytelniony członek zespołu może odczytać wrażliwy kod `email_change_code` należący do innych użytkowników tego samego zespołu. Kod ten jest przeznaczony do jednorazowej weryfikacji zmiany adresu e-mail i powinien pozostać tajny.

Coolify w wersjach do v4.0.0-beta.420.6 zawiera podatność na trwały atak XSS w procesie tworzenia projektu. Uwierzytelniony użytkownik z niskimi uprawnieniami może utworzyć projekt o złośliwej nazwie zawierającej JavaScript, który wykona się w przeglądarce administratora podczas usuwania projektu lub zasobu. Wersja 4.0.0-beta.420.7 zawiera poprawkę.

Coolify przed wersją 4.0.0-beta.420.7 zawiera podatność zdalnego wykonania kodu (RCE) w procesie wdrażania aplikacji. Użytkownik z niskimi uprawnieniami może wstrzyknąć dowolne dyrektywy Docker Compose podczas tworzenia lub aktualizacji projektu, co pozwala na zamontowanie systemu plików hosta i wykonanie poleceń z uprawnieniami roota, omijając izolację kontenerów.

Podatność w Coolify przed wersją v4.0.0-beta.420.7 umożliwia zdalne wykonanie kodu przez uwierzytelnionego użytkownika z niskimi uprawnieniami. Atak polega na wstrzyknięciu dowolnych poleceń powłoki do pola Git Repository podczas tworzenia projektu.

Podatność w Coolify przed wersją v4.0.0-beta.420.6 umożliwia zdalne wykonanie kodu podczas procesu wdrażania aplikacji. Uwierzytelniony użytkownik z niskimi uprawnieniami może wstrzyknąć złośliwe dyrektywy Docker Compose, montując system plików hosta i uzyskując pełny dostęp root do serwera.