Dokploy: Autorisierungsumgehung ermöglicht organisationsübergreifende Steuerung von Anwendungen

Zusammenfassung

Dokploy bis einschliesslich 0.30.10 prüft nicht, ob eine Anwendung zur Organisation des Aufrufers gehört. Ein Owner oder Admin einer beliebigen Organisation mit gültigem Konto kann fremde applicationId-Werte an Prozeduren wie saveEnvironment, updateTraefikConfig, deploy und stop übergeben. Ein Angreifer kann dadurch Umgebungsvariablen und Build-Secrets überschreiben, Quellen umleiten sowie Anwendungen anderer Mandanten stören.

Betroffen

• Dokploy bis einschliesslich 0.30.10
• Standardkonfiguration gemäss CNA: Versionen über 0.30.10 sind nicht betroffen

Behoben in

• Unbekannt. Drittquellen nennen Version 0.30.11 oder neuer, dies ist jedoch weder in den Release-Notes von Dokploy noch im Fix-Commit bestätigt.

Umgehung

• Keine offizielle Workaround-Massnahme dokumentiert.
• Teilweise Schutzwirkung: Netzwerkisolation zwischen Mandanten und Firewall-Regeln, die den Zugriff auf die internen API-Endpunkte einschränken.
• Bis zum Update: Rollen Owner und Admin auf das Minimum beschränken und den Zugriff auf das Dokploy-Webpanel einschränken.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Die CVE ist nicht im CISA KEV aufgeführt.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein Eintrag zu einem öffentlichen Exploit existiert, dessen Inhalt konnte jedoch nicht verifiziert werden.

Unsere Empfehlung

• Alle Dokploy-Instanzen und deren Versionen inventarisieren.
• Auf das aktuelle Dokploy-Release aktualisieren und die Behebung anhand des Herstellercommits überprüfen.
• Organisationsmitgliedschaften sowie Owner- und Admin-Konten überprüfen.
• Das Dokploy-Admin-Interface (VPN oder Allow-List) einschränken, falls es aus dem Internet erreichbar ist.
• Audit-Logs auf unerwartete Deployments, Stopps oder Änderungen an Umgebungsvariablen auf Mehrmandanten-Instanzen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-116068 VulnCheck advisory www.vulncheck.com
• Dokploy fix commit b3cd3c5 github.com
• Dokploy GitHub repository github.com
• Dokploy issue 5635 github.com
• Affected router code (application.ts) github.com
• Permission service code (permission.ts) github.com
• VulDB CVE-2026-116068 vuldb.com
• Strix CVE-2026-116068 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:20.