Версии Dokploy 0.29.8 и 0.29.11, а также определенный коммит ветки canary, содержат критическую уязвимость внедрения команд ОС. Эта уязвимость возникает в процессе создания и восстановления резервных копий из-за некорректной очистки пользовательского ввода. Приложение Dokploy, которое по умолчанию работает с правами root, формирует команды оболочки, используя этот неочищенный ввод. Это позволяет аутентифицированным пользователям с правами на резервное копирование внедрять вредоносные команды. Эти команды затем выполняются системной оболочкой, предоставляя злоумышленникам доступ уровня root к хосту Dokploy. Эксплуатация может привести к полному компрометации целевого устройства, включая доступ к файловой системе и кражу учетных данных. Уязвимость затрагивает все пять типов баз данных, поддерживаемых Dokploy. Хотя разработчики Dokploy были недоступны, проблема была исправлена в версиях 0.29.13 и более поздних. Пользователям настоятельно рекомендуется немедленно обновиться до исправленных версий. В качестве меры предосторожности для тех, кто не может обновиться, рекомендуется отключить права на резервное копирование по умолчанию и ограничить их только для основных пользователей. Об этой уязвимости сообщил Мухаммаджон Ахмаджонов.