Уязвимость отсутствия аутентификации в Coolify GitHub App Setup (CVE-2026-100746)
В coollabsio Coolify до версии 4.1.0 обнаружена уязвимость, связанная с отсутствием проверки аутентификации при обработке параметра state в функции Github::redirect. Проблема затрагивает компонент GitHub App Setup Handler и позволяет удалённому злоумышленнику exploit опубликован публично. Критичность оценивается как средняя (CVSS 6.9).
Подробности
Уязвимость затрагивает функцию Github::redirect, расположенную в файле /webhooks/source/github/redirect, которая входит в состав компонента GitHub App Setup Handler. При манипуляции аргументом state злоумышленник может обойти процедуру аутентификации, что приводит к отсутствию должной проверки подлинности запроса. Согласно описанию, атака может быть выполнена удалённо, то есть без необходимости локального доступа к системе. Базовый показатель CVSS составляет 6.9, что соответствует средней степени критичности. Отдельно стоит отметить, что эксплойт для данной уязвимости уже находится в публичном доступе, что существенно повышает риск её практического использования. Злоумышленники, знающие о наличии проблемы, могут воспользоваться готовым методом эксплуатации без серьёзной предварительной подготовки. Это делает своевременное обновление особенно важным для всех, кто использует Coolify в своей инфраструктуре. Проблема устранена в версии 4.1.1. Патч, закрывающий уязвимость, идентифицирован как fc89e357feed5180ed1ab5eb9cb330578f025539. Разработчики рекомендуют обновить уязвимый компонент до актуальной версии.Что делать
Основная и наиболее надёжная рекомендация — обновить coollabsio Coolify до версии 4.1.1 или более поздней, в которой устранена описанная проблема. Поскольку эксплойт опубликован, откладывать обновление не стоит: именно отсутствие аутентификации при обработке параметра state делает возможной удалённую эксплуатацию, а установка патча полностью закрывает вектор атаки. Если по каким-то причинам немедленное обновление невозможно, следует рассмотреть временные компенсирующие меры: ограничить доступ к эндпоинту /webhooks/source/github/redirect на уровне обратного прокси или межсетевого экрана, разрешив обращения только с доверенных адресов, а также усилить мониторинг подозрительной активности в журналах веб-сервера и приложения. Однако такие меры являются лишь обходными и не заменяют установку официального патча.Итог
CVE-2026-100746 — уязвимость средней критичности, затрагивающая процесс настройки GitHub App в Coolify и позволяющая обойти аутентификацию при удалённом взаимодействии. Наличие публичного эксплойта повышает срочность реагирования. Рекомендуется как можно скорее обновиться до версии 4.1.1, применив патч fc89e357feed5180ed1ab5eb9cb330578f025539, и проверить конфигурацию доступа к соответствующему эндпоинту.Источник: CVE Project (cvelistV5)