Gespeichertes XSS im Coolify-Löschvorgang (CVE-2025-34157)

Betrifft: Coolify ≤ v4.0.0-beta.420.6
Behoben in: v4.0.0-beta.420.7
Schweregrad: Kritisch (9.4)
CVSS-4.0-Vektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CWE: CWE-79 (Cross-Site-Scripting), CWE-20 (Unzureichende Eingabevalidierung)

Zusammenfassung

Ein gespeichertes XSS im Projekt-Löschvorgang ermöglicht die Ausführung von Angreifer-kontrolliertem JavaScript im Browser eines Administrators, wenn der Admin versucht, ein von einem Benutzer mit niedrigen Berechtigungen erstelltes Projekt zu löschen. Dies kann zur Übernahme der Coolify-Instanz führen (Cookies, API-Tokens, WebSocket-/Terminal-Aktionen).

• Angriffsvektor: Remote (jeder authentifizierte Benutzer, inkl. Mitglieder)
• Erforderliche Berechtigungen: Niedrig
• Benutzerinteraktion: Admin-Interaktion (Löschaktion)
• Auswirkung: Übernahme von Konto/Sitzung, Zugriff auf Projekte/Ressourcen/Terminal

Betroffene Versionen

• Alle Versionen bis einschließlich v4.0.0-beta.420.6.