PT-2026-56128 · Coolify · Coolify

Publicado 2026-07-07 · Atualizado 2026-07-07 · CVE-2026-34037

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Coolify versões anteriores a 4.0.0-beta.464

Description Um usuário autenticado pode clonar recursos para destinos pertencentes a outras equipes e acessar recursos entre locatários (cross-tenant). Isso ocorre porque a ação Livewire cloneTo() em ResourceOperations.php autoriza o recurso de origem, mas resolve os recursos de destino usando buscas Eloquent não escopadas, que são consultas ao banco de dados que não aplicam as restrições de propriedade ou locatário necessárias.

Recommendations Atualize para a versão 4.0.0-beta.464.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-34037

Produtos afetados

Coolify

Referências · 6

• https://github.com/coollabsio/coolify/security/advisories/GHSA-ggrr-wrvr-x83v · Nota
• https://github.com/coollabsio/coolify/releases/tag/v4.0.0-beta.464 · Nota
• https://github.com/coollabsio/coolify/commit/1759a1631cd63271ebf6caa250c6d93440eaa333 · Nota
• https://twitter.com/CVEnew/status/2074365819396465094 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-34037 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2074366875266339245 · Publicação no Twitter