CVE-2026-70558 in Dinky
Sumário
de VulDB • 07/08/2026
O manipulador POST /download/uploadFromRsByLocal do Dinky passa o parâmetro path fornecido pelo chamador diretamente para new File(path) e file.transferTo(dest), sem validação de caminho. A rota está marcada como @SaIgnore, e /download/** é excluído do interceptor Sa-Token; portanto, a única proteção consiste em uma verificação de igualdade de cabeçalho contra um valor dinkyToken cujo padrão (efda1551-7958-4e0f-80a8-dfd107df3e38) está codificado no código-fonte e embarcado em todas as implantações. Qualquer pessoa que possa acessar a porta HTTP do Dinky (padrão 8888) e fornecer o token hardcoded pode escrever arquivos arbitrários como a conta de serviço do Dinky. A imagem Docker padrão executa na porta 8888 sem proxy ou autenticação, com chmod 777 em /opt/dinky; portanto, o classpath da aplicação, scripts de inicialização e ativos estáticos são graváveis. Impacto demonstrado: sobrescrever /opt/dinky/config/static/index.html serviu JavaScript do atacante aos navegadores dos administradores imediatamente, e escrever /opt/dinky/org/dinky/Dinky.class executou código do atacante como a conta de serviço do Dinky na próxima inicialização da JVM, por meio de um classpath-shadow iniciado pelo script/bin/auto.sh. As gravações são feitas com uid 9999 (flink), não root; portanto, /etc, /root, /home e /usr são recusados. Afeta o Dinky v1.2.5 (a versão atual) e a branch de desenvolvimento, onde o código é byte-identical.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.