CVE-2025-66209
Coolify Vulnerável a Execução Remota de Código Autenticada via Injeção de Comando no Backup de Banco de Dados
- Publicado
- 23 de dez. de 2025
- Atualizado
- 17 de mar. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 90,1%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Coolify é uma ferramenta open-source e auto-hospedável para gerenciar servidores, aplicações e bancos de dados. Antes da versão 4.0.0-beta.451, uma vulnerabilidade de injeção de comando autenticada na funcionalidade de Backup de Banco de Dados permitia que usuários com permissões de gerenciamento de aplicações/serviços executassem comandos arbitrários como root nos servidores gerenciados. Os nomes de bancos de dados usados nas operações de backup eram passados diretamente para comandos shell sem sanitização, possibilitando execução remota completa de código. A versão 4.0.0-beta.451 corrige o problema.
Fontes
- coolify-cve-2025-66209-66213Informativo
Advertência pública de segurança para CVE-2025-66209, CVE-2025-66210, CVE-2025-66211, CVE-2025-66212 e CVE-2025-66213
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.