CVE-2026-70558 in Dinky
Riassunto
di VulDB • 07/08/2026
Il gestore POST /download/uploadFromRsByLocal di Dinky passa il parametro path fornito dall'utente direttamente a new File(path) e file.transferTo(dest) senza alcuna convalida del percorso. La rotta è contrassegnata come @SaIgnore e /download/** è escluso dall'intercettore Sa-Token, quindi l'unica protezione consiste in un controllo di uguaglianza dell'intestazione rispetto al valore dinkyToken il cui default (efda1551-7958-4e0f-80a8-dfd107df3e38) è hardcoded nel codice sorgente e distribuito a ogni deployment. Chiunque possa raggiungere la porta HTTP di Dinky (8888 per impostazione predefinita) e fornisca il token hardcoded può scrivere file arbitrari come l'account del servizio Dinky. L'immagine Docker predefinita gira sulla porta 8888 senza proxy o autenticazione e con chmod 777 su /opt/dinky, quindi la classpath dell'applicazione, gli script di avvio e le risorse statiche sono scrivibili. Impatto dimostrato: sovrascrivere /opt/dinky/config/static/index.html ha servito JavaScript dannoso ai browser degli amministratori immediatamente, mentre scrivere /opt/dinky/org/dinky/Dinky.class ha eseguito codice dell'attaccante come l'account del servizio Dinky al prossimo avvio della JVM tramite una classpath-shadow lanciata da script/bin/auto.sh. Le scritture avvengono con uid 9999 (flink), non root, quindi /etc, /root, /home e /usr sono rifiutati. Interessa Dinky v1.2.5 (l'attuale release) e il branch di sviluppo, dove il codice è byte-identico.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.