CVE-2026-82954: Kritisk sti-traversal i Dokploy

CVE-2026-82954 er en sti-traversal-sårbarhed i Dokploy, et selvhostet værktøj til at udrulle og drive webapplikationer, som mange danske udviklere og bureauer bruger som alternativ til skybaserede platforme. Fejlen sidder i funktionen writeTraefikConfigInPath, som skriver konfigurationsfiler til Traefik, den komponent der styrer trafikken mellem internettet og de udrullede applikationer. Sti-traversal betyder, at et program ikke tjekker en filsti ordentligt, så en bruger kan bevæge sig uden for den mappe, funktionen egentlig burde holde sig til. Ved at manipulere argumentet path kan en angriber få systemet til at skrive filer et helt andet sted end tilsigtet, for eksempel i systemmapper eller opstartsscripts.

Sårbarheden rammer alle installationer af Dokploy til og med version 0.29.7. Det gælder virksomheder og enkeltpersoner, der selv drifter Dokploy til at udrulle websites, API’er eller interne værktøjer, typisk mindre webbureauer, softwarehuse og it-afdelinger med egne servere. Er Dokploys administrationsgrænseflade tilgængelig fra internettet, er risikoen størst.

En angriber med et lavt-privilegeret login til Dokploy kan skrive filer uden for den tilsigtede konfigurationsmappe. I praksis kan det bruges til at overskrive systemfiler, indsætte ondsindede opstartsscripts eller ændre Traefiks routing, så trafik omdirigeres eller aflyttes. Konsekvensen kan være fuld overtagelse af serveren, nedbrud af alle udrullede applikationer eller lækage af data fra kundeprojekter, der hostes på samme server.

CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun et lavt-privilegeret login (PR:L), ingen brugerinteraktion og kan udføres over netværket. Fortrolighed, integritet og tilgængelighed rammes alle i højeste grad, og scope er ændret, hvilket betyder, at angrebet kan påvirke andre dele af systemet end det, hvor sårbarheden findes. Der er offentliggjort et arbejdende eksempel på udnyttelse, men det er ikke bekræftet, at sårbarheden aktivt udnyttes i angreb mod danske virksomheder.

Da leverandøren ikke har svaret på henvendelsen om sårbarheden, findes der ingen officiel rettelse. Følgende skridt begrænser risikoen, indtil en opdatering foreligger.

1. Fjern Dokploys administrationsgrænseflade fra internettet, og gør den kun tilgængelig via VPN eller intern netværksadgang.
2. Gennemgå og begræns, hvilke brugere der har lavt-privilegerede konti i Dokploy, og fjern konti der ikke er nødvendige.
3. Overvåg filsystemet på serveren for uventede ændringer i Traefik-konfigurationsfiler og andre systemmapper.
4. Hold øje med Dokploys officielle kanaler for en kommende opdatering, og opgradér med det samme, når den udgives.
5. Overvej at flytte til en isoleret testserver, indtil sårbarheden er lukket, hvis Dokploy bruges til kritiske kundeprojekter.
6. Kontakt Auroa, hvis I mangler ressourcer til at afskærme systemet eller vurdere, om jeres opsætning allerede er kompromitteret.