CVE-2025-34161

摘要

Coolify v4.0.0-beta.420.6 及之前版本在项目部署工作流中存在一个严重的远程代码执行（RCE）漏洞。该平台允许已认证的低权限用户在创建项目时，通过 Git 仓库 URL 字段注入任意 shell 命令。攻击者只需提交包含命令注入语法的恶意构造仓库字符串，即可在底层主机系统上执行任意命令，从而完全控制服务器。

影响

• 远程代码执行（RCE）
• 权限提升：从低权限用户提升为完全控制主机
• 机密性、完整性和可用性完全丧失

复现步骤

1. 以低权限用户身份登录
2. 创建一个新项目
3. 选择私有 GIT
4. 在 Git 仓库 URL 字段中插入恶意载荷（例如：[email protected]:fake/repo.git; cat /etc/passwd #;）
5. 部署项目 → 在日志中观察到任意命令执行

参考

• CVE 记录 - CVE-2025-34161