PT-2026-56145 · Coolify · Coolify

Publicado 2026-07-07 · Atualizado 2026-07-07 · CVE-2026-42201

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.3

Baixa

Vetor base

AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Coolify versões anteriores a 4.0.0-beta.474

Description Os campos de credenciais de banco de dados são validados apenas como strings na camada de API, sem verificações de segurança de shell. Esses valores são interpolados diretamente em comandos YAML do Docker Compose sem escape, o que pode levar à injeção de comandos. As variáveis afetadas incluem redis password, keydb password, dragonfly password, clickhouse admin user, clickhouse admin password, postgres user e mysql user.

Recommendations Atualize para a versão 4.0.0-beta.474.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-42201

Produtos afetados

Coolify

Referências · 7

• https://github.com/coollabsio/coolify/pull/9676 · Nota
• https://github.com/coollabsio/coolify/security/advisories/GHSA-f35h-g2c2-q36v · Nota
• https://github.com/coollabsio/coolify/commit/bff6d853708f3d7c861279586f107739036e67da · Nota
• https://github.com/coollabsio/coolify/releases/tag/v4.0.0-beta.474 · Nota
• https://twitter.com/infoflowcloud/status/2074366838880841752 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2074365814203969765 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42201 · Nota de Segurança