CVE-2026-70558 in Dinky
要約
〜によって VulDB • 2026年08月07日
DinkyのPOST /download/uploadFromRsByLocalハンドラは、呼び出し元が指定したpathパラメータをパス検証なしで直接new File(path)およびfile.transferTo(dest)に渡します。このルートは@SaIgnoreとしてマークされており、/download/**はSa-Tokenインターセプターから除外されているため、唯一の防御策はdinkyToken値とのヘッダー等価チェックのみです。このデフォルト値（efda1551-7958-4e0f-80a8-dfd107df3e38）はソースコードにハードコーディングされており、すべての展開環境に同梱されています。DinkyのHTTPポート（デフォルトでは8888）へのアクセスが可能で、かつこのハードコーディングされたトークンを提供できる攻撃者は、任意のファイルをDinkyサービスアカウントとして書き込むことができます。デフォルトのDockerイメージはプロキシや認証なしで8888番ポート上で実行され、/opt/dinkyにはchmod 777が設定されているため、アプリケーション自身のclasspath、起動スクリプト、および静的アセットが書き込み可能です。実証された影響：攻撃者は/opt/dinky/config/static/index.htmlを上書きすることで管理者のブラウザに即座に悪意のあるJavaScriptを提供し、また/opt/dinky/org/dinky/Dinky.classを書き込むことで、script/bin/auto.shによって起動されるclasspathシャドウ経由で、次回JVM起動時にDinkyサービスアカウントとして攻撃者コードを実行しました。書き込み権限はuid 9999（flink）でありrootではないため、/etc、/root、/home、および/usrへのアクセスは拒否されます。この脆弱性は現在リリースされているv1.2.5および開発ブランチに影響します（両者のコードはバイト単位で同一です）。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.