🇰🇷 한글 설명
Dokploy 0.28.8 및 이전 버전에서 발생하는 인증된 OS 명령 주입 취약점입니다. /listen-deployment WebSocket 엔드포인트를 통해 조직 구성원이 관리 중인 원격 서버에서 임의의 시스템 명령을 실행할 수 있으며, 이는 서버 전체 권한 탈취로 이어질 수 있습니다.
💡 쉬운 설명
Dokploy 서비스를 사용하는 권한이 있는 사용자가 서버에 몰래 명령어를 입력하여 서버를 완전히 장악할 수 있는 보안 결함입니다. 이로 인해 서버 내의 모든 데이터가 유출되거나 시스템이 파괴될 위험이 있습니다.
🇺🇸 원문 (English)
Dokploy is a free, self-hostable Platform as a Service (PaaS). In 0.28.8 and earlier, authenticated OS command injection in the /listen-deployment WebSocket endpoint allows any organization member to execute arbitrary system commands on remote servers managed by Dokploy, leading to full server compromise.
📍 영향받는 시스템
Dokploy 0.28.8 및 그 이전 모든 버전
⚔️ 공격 벡터
/listen-deployment WebSocket 엔드포인트를 통한 인증된 OS 명령 주입
🛡️ 대응 방법
Dokploy를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 버전 정보가 출력되면 취약한 버전이 설치되어 있는 상태입니다.
curl -s http://localhost:PORT/version | grep -E '0\.[0-9]+\.[0-9]+' | awk '$1 < "0.28.9"'