PT-2026-56027 · Coolify · Coolify

Everping · Publicado 2026-07-06 · Atualizado 2026-07-06 · CVE-2026-42204

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Coolify versões 4.0.0-beta.471 through 4.0.0-beta.473

Description Uma regressão no SHELL SAFE COMMAND PATTERN permite o uso de ecomerciais (&) em campos de comando personalizados de build, start e pré/pós-implantação do Docker Compose. Isso permite que um membro da equipe autenticado realize a injeção de comandos de shell, resultando na execução de comandos arbitrários no sistema host.

Recommendations Atualizar para a versão 4.0.0-beta.474.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-42204

Produtos afetados

Coolify

Referências · 7

• https://github.com/coollabsio/coolify/releases/tag/v4.0.0-beta.474 · Nota
• https://github.com/coollabsio/coolify/commit/e1aac50b745cf499e710b7e35cd2a9d6a1538dd9 · Nota
• https://github.com/coollabsio/coolify/security/advisories/GHSA-chg4-63hm-xv9x · Nota
• https://github.com/coollabsio/coolify/pull/9684 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42204 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2074258620728881229 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2074257034036568180 · Publicação no Twitter