CVE-2026-44848

Endpointy API zarządzania pluginami Docker (/plugins/*) nie zostały zarejestrowane z odpowiednim handlerem w warstwie RBAC Portainera, przez co żądania do tych ścieżek nie podlegały kontroli uprawnień. Standardowy użytkownik Portainera (rola Standard User lub dowolna rola z dostępem na poziomie endpointu), któremu przyznano dostęp do endpointu Docker poprzez mechanizm RBAC Portainera, mógł bezpośrednio wywoływać uprzywilejowane operacje na pluginach — takie jak ich instalowanie i włączanie — bezpośrednio wobec daemona Docker. Wynika to z braku implementacji wymaganych sprawdzeń autoryzacji (CWE-862: Missing Authorization) dla tej grupy endpointów.

Atakujący z dostępem do konta użytkownika o standardowej roli w Portainerze może instalować i aktywować dowolne pluginy Docker w docelowym środowisku, co może prowadzić do pełnego przejęcia kontroli nad hostem kontenerowym, eskalacji uprawnień oraz naruszenia poufności, integralności i dostępności zasobów systemowych i sąsiednich środowisk.

Należy zaktualizować Portainer Community Edition do wersji 2.33.8, 2.39.2 lub 2.41.0, w których podatność została naprawiona. Do czasu aktualizacji zaleca się ograniczenie przydzielania dostępu do endpointów Docker użytkownikom o rolach nieadministracyjnych oraz monitorowanie aktywności pluginów Docker w zarządzanych środowiskach.

Portainer Community Edition w wersjach od 2.33.0 do przed 2.33.8, do przed 2.39.2 oraz do przed 2.41.0; podatność jest aktywna wyłącznie gdy co najmniej jeden użytkownik nieadministracyjny posiada dostęp do endpointu Docker przez Portainer RBAC

Podatność została ujawniona w ramach security advisory projektu Portainer na platformie GitHub (GHSA-rrmm-9v76-h3p4). Dotyczy środowisk Docker, Swarm, Kubernetes i ACI zarządzanych przez Portainer CE.