CVE-2026-70559 in Dinky
Resumen
por VulDB • 2026-08-07
El controlador `getAll()` de SysConfigController en Dinky para la ruta GET /api/sysConfig/getAll incluye una anotación @SaIgnore a nivel de método que anula el comportamiento de @SaCheckLogin definido a nivel de clase, lo que permite al interceptor Sa-Token pasar la solicitud sin realizar ninguna verificación de sesión o rol. Cualquier usuario remoto no autenticado capaz de acceder al puerto HTTP de Dinky (8888 por defecto) puede obtener toda la configuración del sistema en tiempo real (54 entradas en una instalación estándar de v1.2.5) mediante una única solicitud GET sin parámetros. Solo un campo de credencial (`sys.maven.settings.repositoryPassword`) cuenta con un manejador de ofuscación; los demás campos que contienen credenciales (`sys.env.settings.dinkyToken`, `sys.ldap.settings.userPassword`, y las claves `accessKey` y `secretKey` en `sys.resource.settings.oss`, así como el token en `sys.dolphinscheduler.settings.token`) se devuelven en texto claro. Una instalación básica filtra los valores predeterminados, incluido el dinkyToken codificado efda1551-7958-4e0f-80a8-dfd107df3e38 y las claves OSS minioadmin/minioadmin; una vez que un operador configura LDAP, almacenamiento de objetos o DolphinScheduler a través del Centro de Configuración, esas credenciales en vivo de terceros se filtran desde el mismo punto final. Dado que dinkyToken es la única barrera para la escritura arbitraria de archivos POST /download/uploadFromRsByLocal en el endpoint hermano, esta divulgación invalida la rotación de tokens como medida de mitigación contra dicha vulnerabilidad. Afecta a Dinky v1.2.5 (la versión actual lanzada el 2025-11-05) y a la rama de desarrollo (dev HEAD 63b5a5a), donde el código afectado es idéntico en bytes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.