Stored XSS dans le flux de suppression de Coolify (CVE-2025-34157)

Concerne : Coolify ≤ v4.0.0-beta.420.6
Corrigé dans : v4.0.0-beta.420.7
Sévérité : Critique (9.4)
Vecteur CVSS 4.0 : CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CWE : CWE-79 (Cross-Site Scripting), CWE-20 (Validation d'entrée incorrecte)

Résumé

Un XSS stocké dans le flux de suppression de projet permet l'exécution de JavaScript contrôlé par l'attaquant dans le navigateur d'un administrateur lorsque celui-ci tente de supprimer un projet créé par un utilisateur à faibles privilèges. Cela peut conduire à une prise de contrôle de l'instance Coolify (cookies, jetons API, actions WebSocket/terminal).

• Vecteur d'attaque : Réseau (tout utilisateur authentifié, y compris membre)
• Privilèges requis : Faibles
• Interaction utilisateur : Action de suppression par l'administrateur
• Impact : Prise de contrôle du compte/session, accès aux projets/ressources/terminal

Versions concernées

• Toutes les versions antérieures et y compris v4.0.0-beta.420.6.