Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Coolify versions prior to and including v4.0.0-beta.420.6 are vulnerable to a stored cross-site scripting (XSS) attack in the project creation workflow. An authenticated user with low privileges (e.g., member role) can create a project with a maliciously crafted name containing embedded JavaScript. When an administrator later attempts to delete the project or its associated resource, the payload automatically executes in the admin’s browser context. Version 4.0.0-beta.420.7 contains a patch for the issue.
Coolify versions up to v4.0.0-beta.420.6 contain a stored XSS vulnerability in project creation allowing low-privilege users to inject malicious scripts that execute in administrator contexts. The vulnerability is patched in version 4.0.0-beta.420.7 and requires immediate upgrade for affected deployments.
ثغرة XSS المخزنة في Coolify تسمح لمستخدم مصرح لديه امتيازات منخفضة بإنشاء مشروع باسم يحتوي على كود JavaScript ضار. عند محاولة المسؤول حذف المشروع أو المورد المرتبط به، يتم تنفيذ الحمولة تلقائياً في سياق متصفح المسؤول. هذا يمكن أن يؤدي إلى سرقة جلسات العمل أو بيانات حساسة أو تنفيذ إجراءات غير مصرح بها.
إصدارات Coolify حتى v4.0.0-beta.420.6 تحتوي على ثغرة XSS مخزنة في إنشاء المشاريع تسمح للمستخدمين ذوي الامتيازات المنخفضة بحقن نصوص برمجية ضارة تُنفذ في سياق المسؤول. تم إصلاح الثغرة في الإصدار 4.0.0-beta.420.7 ويتطلب ترقية فورية للنشرات المتأثرة.
Immediately upgrade Coolify to version 4.0.0-beta.420.7 or later. Implement input validation and output encoding for all user-supplied data in project names. Apply Content Security Policy (CSP) headers to prevent inline script execution. Conduct security audit of all existing projects for malicious payloads. Restrict project creation privileges to trusted users only.
قم بترقية Coolify فوراً إلى الإصدار 4.0.0-beta.420.7 أو أحدث. طبق التحقق من صحة الإدخال وترميز الإخراج لجميع البيانات المدخلة من المستخدم في أسماء المشاريع. طبق رؤوس سياسة أمان المحتوى (CSP) لمنع تنفيذ النصوص البرمجية المضمنة. أجرِ تدقيق أمني لجميع المشاريع الموجودة للبحث عن الحمولات الضارة. قيد امتيازات إنشاء المشاريع للمستخدمين الموثوقين فقط.