🇰🇷 한글 설명
Dokploy 0.19.0 및 이전 버전에서 protectedProcedure 미들웨어가 사용자의 인증 여부만 확인하고 조직 범위(organization scoping)를 강제하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 자신의 세션에 속하지 않은 다른 조직의 리소스에 접근하여 프로세스 종료, 배포 삭제, 백업 관리 및 클러스터 구성 등을 수행할 수 있습니다.
💡 쉬운 설명
로그인만 되어 있다면 다른 사용자의 프로젝트나 데이터를 마음대로 조작할 수 있는 보안 허점이 있습니다. 인증은 되지만 '내 것'인지 확인하는 절차가 빠져 있어 발생하는 문제입니다.
🇺🇸 원문 (English)
Dokploy is a free, self-hostable Platform as a Service (PaaS). In 0.19.0 and earlier, the protectedProcedure middleware only verifies the user is authenticated - it does NOT enforce organization scoping. Each endpoint must individually verify the resource's org matches the session's activeOrganizationId. This affects the following endpoints: allByType, killProcess, and removeDeployment in deployment.ts; delete in rollbacks.ts; create, one, update, remove, manualBackupPostgres, MySql, Mariadb, Mongo, Compose, WebServer, and listBackupFiles in backup.ts; list, one, delete, update, runManually, and restoreVolumeBackupWithLogs in volume-backups.ts; getNodes, removeWorker, addWorker, and addManager in cluster.ts; and create in mount.ts.
📍 영향받는 시스템
Dokploy 0.19.0 및 그 이전 모든 버전
⚔️ 공격 벡터
인증된 사용자가 API 요청 시 다른 조직의 리소스 ID를 사용하여 권한 없는 명령을 실행
🛡️ 대응 방법
Dokploy를 최신 버전으로 업데이트하여 조직 범위 검증 로직이 적용된 미들웨어를 사용해야 합니다.
🔧 검증 코드
설치된 Dokploy의 버전을 확인하여 0.19.0 이하인지 확인합니다.
docker inspect dokploy | grep -i 'version' || echo 'Version check required via application UI'