CVE-2026-33344 in dagu
Zusammenfassung
von VulDB • 22.05.2026
Dagu ist eine Workflow-Engine mit einer integrierten Web-Benutzeroberfläche. Von Version 2.0.0 bis vor Version 2.3.1 wurde die Korrektur für CVE-2026-27598 implementiert, indem ValidateDAGName zu CreateNewDAG hinzugefügt und generateFilePath so umgeschrieben wurde, dass filepath.Base verwendet wird. Dies behob das Problem im CREATE-Pfad. Die verbleibenden API-Endpunkte – GET, DELETE, RENAME, EXECUTE – übergeben alle den URL-Pfadparameter {fileName} an locateDAG, ohne ValidateDAGName aufzurufen. In der {fileName}-Komponente enthaltene, mit %2F codierte vorwärts gerichtete Schrägstriche (/) ermöglichen das Verlassen des DAGs-Verzeichnisses. Dieses Problem wurde in Version 2.3.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.