Dokploy跨组织资源删除权限绕过漏洞 (BOLA) 分析

漏洞概述 标题: Cross-organization authorization bypass in server.remove allows deletion of another organization's server registration 描述: RPC 方法接受一个名为 的参数，并删除对应的服务器记录（及相关部署行），但未验证该服务器是否属于会话的 。 当用户属于组织 A，且其活动组织为组织 B 时，可以删除属于组织 A 的服务器注册。 同一路由器中的相邻过程（如 、 ）强制执行组织所有权检查，但 没有。 影响范围 受影响版本: >= 0.28.7, <= 0.29.8 修复版本: None CVSS 评分: 8.4/10 影响: - 完整性: 跨组织删除服务器注册及其关联的部署记录。 - 可用性: 受害组织无法再管理受影响的服务器，直到重新注册。 - 机密性: 删除操作包括受害服务器关联的 SSH 密钥对象，以明文 PEM 私有密钥形式返回。 修复方案 1. 在 和 及任何删除操作之前: 2. 在服务状态检查之前运行组织验证，以避免跨租户存在/状态泄漏。 3. 考虑返回一个省略 的删除响应。 4. 提取所有权检查到共享辅助函数，供所有服务器范围的过程重用，以防未来端点无意中忽略它。例如： POC 代码 步骤 1 — 认证 步骤 2 — 合法获取 Org-B 的 serverId（活动组织为 Org-B） 步骤 3 — 切换活动组织到 Org-A 步骤 4 — 控制：跨组织读取被拒绝 步骤 5 — 攻击：跨组织删除 确认的影响 完整性: 跨组织删除服务器注册及其关联的部署记录。 可用性: 受害组织无法再管理受影响的服务器，直到重新注册。 机密性: 删除操作包括受害服务器关联的 SSH 密钥对象，以明文 PEM 私有密钥形式返回。 恢复性 服务器注册可以通过重新添加服务器来重新创建。 删除的部署历史记录和移除的日志目录内容不会通过重新注册恢复。 根本原因 1. 强制执行基于角色的访问，但不绑定调用者提供的 到 。 2. 提交 (2026-03-15) 移除了之前存在的显式组织检查。 3. 是一个服务附加守卫，不是租户边界，并在任何所有权验证之前运行。 与现有建议的关系 GHSA-534x-qxwy-4cmm: 路由器跨组织读取通过 。不同路由器、过程、权限、操作（读取或破坏性删除）和确认影响。此报告的修复不补救 ，反之亦然。 GHSA-h9wj-5c4w-8hpg / CVE-2026-43917: 列出其他路由器。不包括 。 回归测试 1. 用户删除自己组织的服务器（无附加服务）— 成功。 2. 用户使用 在 Org-A 提供 Org-B 的 — 。 3. 成员角色无 — 。 4. 不存在的 — 安全错误，无跨租户存在泄漏。 5. Org-B 服务器有附加服务，跨组织调用者 — 所有权检查在 分支之前拒绝。 6. 删除响应不暴露跨组织 SSH 私有密钥材料。 披露说明 所有测试均在本地针对可丢弃的多租户实验室进行。未访问任何第三方或生产 Dokploy 系统。 SSH 私有密钥已验证格式和可用性，但密钥材料未包含在此报告中（显示为 ）。 影响仅限于 Dokploy 管理的数据库记录和 API 响应中返回的凭证；未声称远程主机破坏或代码执行。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Dokploy跨组织资源删除权限绕过漏洞 (BOLA) 分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Dokploy跨组织资源删除权限绕过漏洞 (BOLA) 分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！