CVE-2026-86002

Estado: Pendiente de análisisCrítica (9)—

Gravedad9Crítica · CVSS 3.1

Probabilidad de explotación0.56 %mayor que el 46 % de las CVE

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

Dokku es una plataforma como servicio basada en Docker. En las versiones de Dokku anteriores a la 0.38.25, un usuario con acceso a Dokku a nivel de aplicación y acceso SSH remoto para ejecutar comandos de docker-options puede almacenar cadenas arbitrarias mediante el complemento docker-options, y esas cadenas se concatenan posteriormente en DOCKER_ARGS y son procesadas por eval de Bash durante las operaciones de compilación, despliegue o ejecución. Las sustituciones de comandos de shell en los valores almacenados se interpretan en el host, lo que permite la ejecución arbitraria de comandos con los privilegios del usuario del sistema operativo dokku. Este problema se ha corregido en la versión 0.38.25.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 9
Versión: 3.1
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.56 %
Percentil entre todas las CVEs puntuadas: 46
Fecha de la puntuación: 20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1203 Exploitation for Client Executionexecution80 %
Impacto principalT1059.004 Unix Shellexecution85 %

El vector CVSS indica UI:R (interacción del usuario) y el texto cita que las cadenas almacenadas se procesan con eval de Bash, permitiendo sustitución de comandos en el host.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Execution Prevention Application Isolation and Sandboxing Exploit Protection Update Software

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Dokku — Dokku^AI

CWE

CWE-95

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-86002",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-86002",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T17:45:06.294502Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 9,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 6,
        "exploitabilityScore": 2.3
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "dokku",
          "product": "dokku",
          "versions": [
            {
              "status": "affected",
              "version": "< 0.38.25"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-14T16:17:54.470",
  "references": [
    {
      "url": "https://github.com/dokku/dokku/commit/1a376c362215a5c7044a08b3e3905b1a5fddc821",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/dokku/dokku/pull/8848",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/dokku/dokku/releases/tag/v0.38.25",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/dokku/dokku/security/advisories/GHSA-fccf-j7qf-2xp9",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-95"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Dokku is a docker-powered platform as a service. In Dokku versions before 0.38.25, a user with app-level Dokku access and remote SSH access to execute docker-options commands can store arbitrary strings through the docker-options plugin, and those strings are later concatenated into DOCKER_ARGS and processed by Bash eval during build, deploy, or run operations. Shell command substitutions in the stored values are interpreted on the host, allowing arbitrary command execution with the privileges of the dokku operating-system user. This issue is fixed in version 0.38.25."
    }
  ],
  "lastModified": "2026-10-16T16:00:33.533",
  "sourceIdentifier": "security-advisories@github.com"
}