CVE-2025-66210
Coolify Vulnerável à Execução Remota de Código Autenticada via Injeção de Comando na Importação de Banco de Dados
- Publicado
- 23 de dez. de 2025
- Atualizado
- 17 de mar. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBaixo · próximos 30 dias
- Percentil
- 85,9%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Coolify é uma ferramenta de código aberto e auto-hospedável para gerenciar servidores, aplicações e bancos de dados. Antes da versão 4.0.0-beta.451, uma vulnerabilidade de injeção de comandos autenticada na funcionalidade de Importação de Banco de Dados permitia que usuários com permissões de gerenciamento de aplicações/serviços executassem comandos arbitrários como root em servidores gerenciados. Os nomes de bancos de dados usados em operações de importação são passados diretamente para comandos de shell sem sanitização, possibilitando execução remota de código completa. A versão 4.0.0-beta.451 corrige o problema.
Fontes
- coolify-cve-2025-66209-66213Informativo
Advertência pública de segurança para CVE-2025-66209, CVE-2025-66210, CVE-2025-66211, CVE-2025-66212 e CVE-2025-66213
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.