Cross-tenant Git Secrets Disclosure in Dokploy (CVE-2025-72873)

Vulnerability Overview Title: Cross-tenant Git provider secrets are disclosed to low-privileged service readers via Description: An organization member with permissions can access Git provider secrets belonging to different users within the same organization. The issue arises because provider secrets are loaded into the application object before authorization is enforced at the provider level, and the object is returned without redacting the sensitive fields. Key Code Paths: Vulnerability Flow: 1. The request reaches in . 2. The route only checks for service access: 3. It then loads the full application object, including nested provider objects, via : 4. The route subsequently checks if the caller owns the linked provider: 5. Despite detecting that the caller is unauthorized, the route still returns: This does not redact the nested provider objects that contain the secrets. Exposed Git Fields: Impact Affected Versions: <= 0.28.8 Fixed Versions: None CVSS v3 Base Metrics: - Attack Vector: Network - Attack Complexity: Low - Privileges Required: Low - User Interaction: None - Scope: Unchanged - Confidentiality: High - Integrity: None - Availability: None CVSS Score: 6.5 / 10 CVE ID: CVE-2025-72873 Weakness: CWE-200 Reporter: leduckhuong Mitigation Do not serialize provider secrets in the service detail response. Redact all secret/private key fields before returning nested provider objects. Enforce ownership or provider-specific authorization before loading provider details. Return only minimal, non-sensitive metadata when the caller does not own the linked provider. Apply the same fix pattern to both application and composition detail endpoints. Proof of Concept (POC) Prerequisites: A Dokploy organization with at least two users. Victim User: Owns the Git provider and has linked it to an application. Reader User: Has only access to that application. The Reader must not have any Git provider access permissions. Lab Setup for Verification: Victim Provider Owner: Low-Privilege Reader: / Application ID: Linked Provider: - - Reproduction Steps: 1. Log in as the low-privilege reader: 2. Copy the from the response header. 3. Request the application detail endpoint using the reader's session: ```http GET /api/trpc/application.one?batch=1&input=%7B%220%3A%7B%22json%22%3A%22N3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN3AN

Goal Reached Thanks to every supporter — we hit 100%!

Cross-tenant Git Secrets Disclosure in Dokploy (CVE-2025-72873)

More from this source