Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. In Coolify versions up to and including v4.0.0-beta.434, a low privileged user (member) can see and use invitation links sent to an administrator. When they use the link before the legitimate recipient does, they are able to log in as an administrator, meaning they have successfully escalated their privileges. As of time of publication, it is unclear if a patch is available.
Coolify versions up to v4.0.0-beta.434 contain a critical authentication bypass vulnerability (CWE-287) allowing low-privileged users to intercept administrator invitation links and escalate privileges to full administrative access. The vulnerability has a CVSS score of 8.8 (High) with active exploitation confirmed and no patch currently available.
تؤثر هذه الثغرة الأمنية على نظام Coolify وهو أداة مفتوحة المصدر لإدارة الخوادم والتطبيقات وقواعد البيانات. يمكن للمستخدم العادي (member) الوصول إلى روابط الدعوة المرسلة للمسؤولين واستخدامها قبل المستلم الشرعي، مما يمنحه صلاحيات إدارية كاملة. تصنف الثغرة ضمن CWE-287 (المصادقة غير الصحيحة) وتشكل خطراً كبيراً على أمن النظام بسبب إمكانية السيطرة الكاملة على البنية التحتية المُدارة. لا يتوفر حالياً أي تصحيح رسمي للثغرة مع وجود استغلال نشط موثق.
تحتوي إصدارات Coolify حتى v4.0.0-beta.434 على ثغرة حرجة في تجاوز المصادقة (CWE-287) تسمح للمستخدمين ذوي الصلاحيات المنخفضة باعتراض روابط دعوة المسؤولين وتصعيد صلاحياتهم للوصول الإداري الكامل. تحمل الثغرة درجة خطورة 8.8 (عالية) مع تأكيد استغلالها النشط وعدم توفر تصحيح حالياً.
1. Immediately disable or restrict access to Coolify administrative invitation functionality until a patch is released, and manually provision administrator accounts through secure channels.
2. Implement network segmentation to isolate Coolify instances from untrusted users, enforce multi-factor authentication for all administrative access, and monitor all privilege escalation attempts through SIEM integration.
3. Conduct immediate audit of all user accounts and access logs to identify potential unauthorized privilege escalations, revoke suspicious administrative accounts, and establish compensating controls including time-limited invitation links and out-of-band verification.
1. تعطيل أو تقييد الوصول الفوري إلى وظيفة دعوات المسؤولين في Coolify حتى صدور التصحيح، وإنشاء حسابات المسؤولين يدوياً عبر قنوات آمنة.
2. تطبيق تجزئة الشبكة لعزل نسخ Coolify عن المستخدمين غير الموثوقين، وفرض المصادقة متعددة العوامل لجميع الوصول الإداري، ومراقبة جميع محاولات تصعيد الصلاحيات عبر أنظمة SIEM.
3. إجراء مراجعة فورية لجميع حسابات المستخدمين وسجلات الوصول لتحديد حالات تصعيد الصلاحيات غير المصرح بها المحتملة، وإلغاء الحسابات الإدارية المشبوهة، وإنشاء ضوابط تعويضية تشمل روابط دعوة محدودة زمنياً والتحقق عبر قنوات منفصلة.