🇰🇷 한글 설명
Coolify는 서버, 애플리케이션 및 데이터베이스를 관리하는 오픈 소스 셀프 호스팅 도구입니다. 4.0.0-beta.471 이전 버전에서는 서버 및 프로젝트 조회가 현재 팀 범위로 제한되지 않아, 인증된 사용자가 ID를 직접 지정하여 다른 팀의 서버와 프로젝트에 접근할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
로그인한 사용자가 다른 팀의 관리 정보나 프로젝트를 몰래 훔쳐볼 수 있는 보안 허점이 발견되었습니다. 공격자가 특정 ID 번호만 알면 다른 팀의 자원에 접근할 수 있는 상태입니다.
🇺🇸 원문 (English)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to 4.0.0-beta.471, Coolify server and project lookups are not scoped to the current team, allowing any authenticated user to access servers and projects belonging to other teams by specifying their IDs directly. This vulnerability is fixed in 4.0.0-beta.471.
📍 영향받는 시스템
Coolify 4.0.0-beta.471 미만 버전
⚔️ 공격 벡터
인증된 사용자가 API 요청 시 다른 팀의 서버 또는 프로젝트 ID를 직접 입력하여 접근
🛡️ 대응 방법
Coolify를 4.0.0-beta.471 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 4.0.0-beta.471 이상의 버전 번호가 포함되어 있는지 확인하십시오.
curl -s http://<your-coolify-instance>/api/version | grep -E '4.0.0-beta.471'