🇰🇷 한글 설명
Dokploy 0.29.13 미만 버전에서 dockerImage 필드가 쉘 명령어로 전달될 때 따옴표 처리 없이 보간되는 취약점이 존재합니다. 권한이 있는 사용자가 이 필드에 쉘 명령 치환을 사용하여 로컬 빌드 호스트나 원격 SSH 빌드 대상에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
Dokploy를 사용하는 사람이 설정값에 몰래 악성 명령어를 섞어 넣으면, 서버가 이를 실행하여 시스템의 중요한 정보를 빼가거나 제어권을 뺏을 수 있는 문제입니다. 마치 주문서에 음식 이름 대신 '가게 금고 열어라'라는 명령을 적어 보냈을 때 주방장이 그대로 실행해버리는 것과 같습니다.
🇺🇸 원문 (English)
Dokploy is a free, self-hostable Platform as a Service (PaaS). Prior to 0.29.13, the dockerImage field is interpolated without quoting into shell commands in buildRemoteDocker() in packages/server/src/utils/providers/docker.ts and is validated only as an optional string. An authenticated user with application create or update permission can use shell command substitution in dockerImage to execute arbitrary commands on the local build host or a remote SSH build target, exposing host secrets and other projects. This issue is fixed in version 0.29.13.
📍 영향받는 시스템
Dokploy 0.29.13 미만 모든 버전
⚔️ 공격 벡터
애플리케이션 생성 또는 업데이트 권한을 가진 사용자가 dockerImage 필드에 쉘 명령 치환(Command Substitution) 삽입
🛡️ 대응 방법
Dokploy를 최신 버전인 0.29.13 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.29.13보다 낮으면 취약한 상태입니다.
npm list -g dokploy | grep -E 'dokploy@([0-9]+\.[0-9]+\.[0-9]+)'