eyodav/cve-2025-34157프로젝트 삭제 흐름에 저장된 XSS 취약점이 존재하여, 낮은 권한의 사용자가 생성한 프로젝트를 관리자가 삭제하려고 할 때 공격자가 제어하는 JavaScript가 관리자의 브라우저에서 실행될 수 있습니다. 이를 통해 Coolify 인스턴스를 탈취할 수 있습니다(쿠키, API 토큰, WebSocket/터미널 작업).
영향 받는 버전: Coolify ≤ v4.0.0-beta.420.6
수정된 버전: v4.0.0-beta.420.7
심각도: 심각 (9.4)
CVSS 4.0 벡터:CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CWE: CWE-79 (크로스 사이트 스크립팅), CWE-20 (부적절한 입력 검증)
프로젝트 삭제 흐름의 저장형 XSS를 통해, 낮은 권한의 사용자가 만든 프로젝트를 관리자가 삭제하려고 할 때 공격자가 제어하는 JavaScript가 관리자 브라우저에서 실행될 수 있습니다. 이로 인해 Coolify 인스턴스 (쿠키, API 토큰, WebSocket/터미널 동작)가 탈취될 수 있습니다.
v4.0.0-beta.420.6 이전 및 포함 모든 버전./POC