CVE-2025-53825 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Dokploy 预览部署功能存在 **任意代码执行 (RCE)** 漏洞。 💥 **后果**：攻击者可执行恶意代码，导致 **敏感环境变量泄露**，服务器控制权旁落。

🔍 **CWE**：CWE-862（**缺少授权**）。 📍 **缺陷点**：**未经认证**的预览部署接口未做权限校验，允许非法用户触发代码执行逻辑。

📦 **厂商**：Dokploy。 📌 **版本**：**0.24.3 之前**的所有版本均受影响。 🛠️ **组件**：预览部署功能模块。

👮 **权限**：无需登录，直接获得 **高权限** 执行能力。 💾 **数据**：可读取服务器 **环境变量**（含数据库密码、API Key 等敏感信息），甚至完全控制实例。

🚪 **门槛**：**极低**。 🔑 **认证**：**无需认证** (PR:N)。 🌐 **网络**：**远程** (AV:N)。 🎯 **复杂度**：**低** (AC:L)，无需用户交互 (UI:N)。

📜 **PoC**：当前数据中 **无公开 PoC** (pocs: [])。 🌍 **在野**：暂无在野利用报告。 🔗 **修复提交**：GitHub 已有修复 Commit (1977235...)。

🔎 **自查**：检查 Dokploy 版本是否 **< 0.24.3**。 📡 **扫描**：监测针对 `/preview` 或类似部署端口的异常代码执行请求。 📝 **日志**：查看是否有未授权访问预览部署功能的日志记录。

✅ **已修复**：官方已发布安全公告 (GHSA-h67g-mpq5-6ph5) 并合并修复代码。 🔄 **行动**：请立即升级至 **0.24.3 或更高版本**。

🛡️ **临时规避**：若无法升级，建议 **禁用预览部署功能**。 🚫 **网络隔离**：限制预览部署端口的 **公网访问**，仅允许内网或特定 IP 访问。 🔒 **权限加固**：确保所有管理接口强制开启 **身份认证**。

🔥 **优先级**：**紧急 (Critical)**。 ⚠️ **理由**：**CVSS 9.8** 高分，**无认证**即可远程 RCE，直接威胁核心数据安全。 🚀 **建议**：**立即** 升级补丁，切勿拖延！