文章总结： Dokploy0.26.6之前的版本在WebSocket端点存在命令注入漏洞，攻击者可利用参数在主机执行任意命令。建议立即升级至0.26.6或更高版本修复。若无法升级，需通过中间件过滤参数、限制权限及网络隔离等手段进行防护。 综合评分： 81 文章分类： 漏洞预警,漏洞分析,WEB安全

【高危漏洞预警】Dokploy命令注入漏洞CVE-2026-24841

cexlife cexlife

飓风网络安全

2026年1月30日 22:00 北京

漏洞描述:

Dоkрlоу是一个免费的、可自托管的平台即服务（PааS）在0.26.6版本之前,Dоkрlоу的WеbSосkеt端点/dосkеr-соntаinеr-tеrminаl存在一个严重命令注入漏洞,соntаinеrId和асtivеWау参数未经净化直接插入到ѕhеll命令中,允许已认证的攻击者在主机服务器上执行任意命令0.26.6版本已修复此问题

攻击场景:

攻击者需具备低权限认证账户通过向/docker-container-terminal WebSocket端点发送特制请求利用containerId和activeWay参数将恶意输入直接注入系统shell命令中,从而在主机服务器上执行任意命令

修复建议:

目前官方已有可更新版本,建议受影响用户升级至最新版本

建议措施:

立即升级：所有使用 Dokploy 的用户应立即升级至 0.26.6 或更高版本,以修复该漏洞

输入验证与过滤：若无法立即升级，应通过中间件（如 Nginx、API 网关）对/docker-container-terminal接口的containerId和activeWay参数进行白名单校验与特殊字符过滤

最小权限原则：限制普通用户的 WebSocket 权限，避免其访问容器终端功能。

监控与日志审计：启用对 /docker-container-terminal 接口的访问日志记录，重点关注异常命令调用（如 bash -c, sh -c, wget, curl, rm -rf 等）

网络隔离：将 Dokploy 服务部署于隔离网络中，限制外部访问，仅允许可信 IP 访问管理接口

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：飓风网络安全 cexlife cexlife《【高危漏洞预警】Dokploy命令注入漏洞CVE-2026-24841》