В Dokploy выявили обход изоляции между арендаторами
В платформе развертывания приложений Dokploy обнаружили уязвимость, позволяющую владельцу или администратору одной организации управлять приложениями другой. Информация о CVE-2026-116068 появилась 25 октября в GitHub Advisory Database; запись помечена как high severity и получила 8,7 балла по CVSS 4.0.
Проблема затрагивает версии Dokploy до 0.30.10. Как описывает advisory, сервер принимал переданный пользователем идентификатор applicationId без достаточной проверки принадлежности приложения текущей организации. Поэтому пользователь с низким уровнем привилегий в одной организации мог обратиться к процедурам, связанным с чужим приложением.
Среди упомянутых операций — сохранение окружения, изменение конфигурации Traefik, запуск и остановка развертывания. В зависимости от доступов и конфигурации это могло позволить перезаписать переменные окружения и секреты сборки, изменить источник проекта или нарушить работу приложения другого арендатора. Advisory классифицирует дефект как обход авторизации через управляемый пользователем ключ.
В опубликованной записи GitHub указано, что исправление связано с коммитом в репозитории Dokploy, однако отдельная исправленная версия в поле patched versions не обозначена. Администраторам следует проверить используемую версию и обновление из официального репозитория, а также пересмотреть журналы обращений к API и секреты приложений, если платформа работала в многопользовательском режиме. Подтверждений эксплуатации уязвимости в опубликованных материалах нет.