Pubblicato il 2026-08-10 · Fonte: NVD NIST
La vulnerabilità CVE-2026-72737 è stata scoperta in Dokploy, una piattaforma self-hostable come servizio (PaaS). La versione 0.29.8 e precedenti presentano un problema di sicurezza che consente a un utente autenticato con permessi di backup di accedere ai dati di backup di altre organizzazioni. Ciò avviene a causa della mancanza di verifica dell'ID dell'organizzazione di destinazione. La vulnerabilità è classificata come critica con un punteggio CVSS di 9.6.
Un attaccante può sfruttare questa vulnerabilità per accedere ai dati di backup di altre organizzazioni, leggere gli oggetti di backup o reindirizzare e avvelenare i backup tra i confini dei tenant. Ciò può portare a una violazione della sicurezza dei dati e a una possibile esposizione di informazioni sensibili. La vulnerabilità non è attualmente sfruttata attivamente, ma la sua gravità richiede un'attenzione immediata.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare Dokploy alla versione più recente disponibile. Se non è possibile eseguire l'aggiornamento, si possono adottare misure di workaround come limitare i permessi di backup agli utenti autenticati e monitorare attentamente l'accesso ai dati di backup. Inoltre, è fondamentale implementare pratiche di sicurezza generali, come l'autenticazione a più fattori e la crittografia dei dati, per ridurre il rischio di attacchi.
La vulnerabilità CVE-2026-72737 è un problema di sicurezza critico in Dokploy che consente a un utente autenticato di accedere ai dati di backup di altre organizzazioni.
L'impatto della vulnerabilità include l'accesso non autorizzato ai dati di backup, la lettura degli oggetti di backup e il reindirizzamento e l'avvelenamento dei backup tra i confini dei tenant.
Per proteggersi da questa vulnerabilità, è consigliabile aggiornare Dokploy alla versione più recente disponibile e adottare misure di sicurezza come limitare i permessi di backup e monitorare l'accesso ai dati di backup.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.