CVE-2026-33344 in dagu
要約
〜によって VulDB • 2026年05月16日
Daguは、組み込みのWebユーザーインターフェースを備えたワークフローエンジンです。バージョン2.0.0からバージョン2.3.1未満の間、CVE-2026-27598の修正により、CreateNewDAGにValidateDAGNameが追加され、generateFilePathがfilepath.Baseを使用するように書き換えられました。これにより、CREATEパスがパッチされました。残りのAPIエンドポイント（GET、DELETE、RENAME、EXECUTE）はすべて、ValidateDAGNameを呼び出すことなく、{fileName} URLパスパラメータをlocateDAGに渡してDAGを特定します。{fileName}セグメント内の%2Fエンコードされた前方スラッシュが、DAGsディレクトリ外へのトラバーサルを可能にします。この問題はバージョン2.3.1でパッチされました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.