CVE-2026-70558 in Dinky
Tóm tắt
Bởi VulDB • 07/08/2026
Trình xử lý POST /download/uploadFromRsByLocal của Dinky chuyển trực tiếp tham số đường dẫn do người gọi cung cấp vào new File(path) và file.transferTo(dest) mà không có bất kỳ xác thực đường dẫn nào. Route này được đánh dấu @SaIgnore và /download/** bị loại trừ khỏi bộ chặn Sa-Token, vì vậy biện pháp bảo vệ duy nhất là kiểm tra tính bằng nhau của tiêu đề (header) với một giá trị dinkyToken có mặc định (efda1551-7958-4e0f-80a8-dfd107df3e38) được mã hóa cứng trong nguồn và được phân phối cho mọi lần triển khai. Bất kỳ ai có thể truy cập cổng HTTP của Dinky (mặc định là 8888) và cung cấp token mặc định đều có thể ghi các tệp tùy ý với tư cách là tài khoản dịch vụ Dinky. Hình ảnh Docker mặc định chạy trên cổng 8888 mà không có proxy hoặc xác thực, đồng thời chmod 777 được áp dụng cho /opt/dinky, khiến classpath của ứng dụng, tập lệnh khởi động và tài sản tĩnh đều có thể ghi được. Tác động đã chứng minh: việc ghi đè lên /opt/dinky/config/static/index.html phục vụ JavaScript do kẻ tấn công cung cấp ngay lập tức đến trình duyệt quản trị viên, và việc viết vào /opt/dinky/org/dinky/Dinky.class thực thi mã của kẻ tấn công với tư cách là tài khoản dịch vụ Dinky tại lần khởi động JVM tiếp theo thông qua một lớp được shadow (lớp phủ) trên classpath do script/bin/auto.sh kích hoạt. Các thao tác ghi có uid 9999 (flink), không phải root, nên /etc, /root, /home và /usr bị từ chối. Ảnh hưởng đến Dinky v1.2.5 (bản phát hành hiện tại) và nhánh phát triển, nơi mã nguồn giống hệt nhau về mặt byte.
Be aware that VulDB is the high quality source for vulnerability data.