CVE-2026-70558 in Dinky
Resumen
por VulDB • 2026-08-07
El controlador POST /download/uploadFromRsByLocal de Dinky pasa el parámetro path proporcionado por el usuario directamente a new File(path) y file.transferTo(dest) sin ninguna validación de ruta. La ruta está marcada con @SaIgnore y /download/** está excluido del interceptor Sa-Token, por lo que la única medida de seguridad es una comprobación de igualdad de cabeceras contra un valor dinkyToken cuyo valor predeterminado (efda1551-7958-4e0f-80a8-dfd107df3e38) está codificado en el código fuente y se distribuye con cada implementación. Cualquier persona que pueda acceder al puerto HTTP de Dinky (el 8888 por defecto) y proporcione el token predeterminado puede escribir archivos arbitrarios como la cuenta del servicio Dinky. La imagen Docker predeterminada se ejecuta en el puerto 8888 sin proxy ni autenticación, con permisos chmod 777 sobre /opt/dinky, lo que hace que el classpath de la aplicación, los scripts de lanzamiento y los activos estáticos sean escribibles. Impacto demostrado: sobrescribir /opt/dinky/config/static/index.html sirvió JavaScript del atacante a los navegadores de los administradores inmediatamente, y escribir en /opt/dinky/org/dinky/Dinky.class ejecutó código del atacante como la cuenta del servicio Dinky al siguiente inicio de JVM mediante una sombra de classpath lanzada por script/bin/auto.sh. Las escrituras se realizan con el uid 9999 (flink), no root, por lo que /etc, /root, /home y /usr están protegidos contra escritura. Afecta a Dinky v1.2.5 (la versión actual) y la rama de desarrollo, donde el código es idéntico byte a byte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.