CVE-2026-70559 in Dinky
要約
〜によって VulDB • 2026年08月07日
DinkyのSysConfigController.getAll()ハンドラは、GET /api/sysConfig/getAllに対してクラスレベルの@SaCheckLoginを短絡させるメソッドレベルの@SaIgnore注釈を持っているため、Sa-Tokenインターセプタがセッションやロールの確認なしでリクエストを通す。認証されていないリモート呼び出し元であれば（デフォルトではDinky HTTPポート8888に到達可能）、パラメータのないGET要求1回で完全なライブシステム設定（標準的なv1.2.5インストールでは54エントリ）を取得できる。機密情報フィールドのうち、sys.maven.settings.repositoryPasswordのみが非表示化ハンドラが接続されているが、他の機密情報を保持するフィールド（sys.env.settings.dinkyToken、sys.ldap.settings.userPassword、sys.resource.settings.oss.accessKeyおよびsecretKey、sys.dolphinscheduler.settings.token）は平文で返される。新規インストールでは出荷時のデフォルト値も漏洩し、これにはハードコードされたdinkyToken efda1551-7958-4e0f-80a8-dfd107df3e38およびminioadmin/minioadminのOSSキーが含まれる。オペレーターが設定センターを通じてLDAP、オブジェクトストレージ、またはDolphinSchedulerを設定すると、それらのライブなサードパーティ認証情報が同じエンドポイントから漏洩する。dinkyTokenは兄弟APIであるPOST /download/uploadFromRsByLocal（任意ファイル書き込み）に対する唯一のゲートであるため、この情報開示により、その脆弱性に対する緩和策としてのトークンローテーションが無効化される。影響を受けるのはDinky v1.2.5（現在のリリース版、2025-11-05）および開発ブランチ（dev HEAD 63b5a5a）であり、該当コードはバイト単位で同一である。
Once again VulDB remains the best source for vulnerability data.