Dozzle is a realtime log viewer for docker containers. Prior to 10.5.2, in a default dozzle deploy (the documented quickstart, no DOZZLE_AUTH_PROVIDER set), POST /api/notifications/test-webhook is reachable without authentication and forwards an attacker-controlled URL into a WebhookDispatcher that sends an HTTP POST to the supplied URL with attacker-controlled request headers, and returns the response status code AND up to 1MB of the response body to the caller, when the target replies non-2xx. This vulnerability is fixed in 10.5.2.
Dozzle versions before 10.5.2 allow unauthenticated attackers to perform Server-Side Request Forgery (SSRF) attacks via the /api/notifications/test-webhook endpoint, enabling arbitrary HTTP requests to internal systems. The vulnerability affects default deployments without authentication configured and can leak up to 1MB of response data from targeted services.
تسمح ثغرة Server-Side Request Forgery في Dozzle بإرسال طلبات HTTP عشوائية إلى عناوين URL يتحكم بها المهاجم من خلال نقطة نهاية غير محمية. يمكن للمهاجمين الوصول إلى الخدمات الداخلية والحصول على بيانات حساسة من الاستجابات. تؤثر الثغرة على النشرات الافتراضية التي لم يتم تكوين مصادقة فيها.
إصدارات Dozzle السابقة للإصدار 10.5.2 تسمح للمهاجمين غير المصرح لهم بتنفيذ هجمات SSRF عبر نقطة نهاية /api/notifications/test-webhook، مما يتيح طلبات HTTP عشوائية للأنظمة الداخلية. يؤثر الثغرة على النشرات الافتراضية بدون مصادقة مكونة ويمكن أن تسرب ما يصل إلى 1 ميجابايت من بيانات الاستجابة.
Upgrade Dozzle to version 10.5.2 or later immediately. Implement network-level access controls to restrict outbound connections from Dozzle containers. Enable DOZZLE_AUTH_PROVIDER in production deployments to require authentication. Deploy Dozzle behind a reverse proxy with authentication and rate limiting. Restrict webhook functionality to authenticated users only.
قم بترقية Dozzle إلى الإصدار 10.5.2 أو أحدث فوراً. طبق عناصر تحكم الوصول على مستوى الشبكة لتقييد الاتصالات الصادرة من حاويات Dozzle. فعّل DOZZLE_AUTH_PROVIDER في نشرات الإنتاج لتطلب المصادقة. انشر Dozzle خلف وكيل عكسي مع المصادقة وتحديد المعدل. قيّد وظيفة webhook للمستخدمين المصرح لهم فقط.