CVE-2026-31882

إصدارات Dagu السابقة للإصدار 2.2.4

Dagu هو محرك سير عمل مزود بواجهة مستخدم ويب مدمجة. عند تهيئته باستخدام المصادقة الأساسية عبر HTTP (DAGU AUTH MODE=basic)، يمكن الوصول إلى جميع نقاط نهاية أحداث إرسال الخادم (SSE) دون الحاجة إلى بيانات اعتماد. وهذا يسمح للمهاجمين غير المصادق عليهم بالوصول إلى بيانات تنفيذ DAG في الوقت الفعلي، وتكوينات سير العمل، وسجلات التنفيذ، وحالة قائمة الانتظار، متجاوزين بذلك المصادقة التي تحمي واجهة برمجة التطبيقات REST. تنبع المشكلة من الدالة buildStreamAuthOptions()، التي تُرجع بنية مصادقة مع تعيين BasicAuthEnabled على «true» بينما يكون AuthRequired افتراضيًا على «false». تسمح البرمجيات الوسيطة للمصادقة بالطلبات غير المصادق عليها عندما تكون قيمة AuthRequired هي false. تشمل نقاط نهاية SSE المتأثرة ’/api/v1/events/dags‘، و'/api/v1/events/dags/{fileName}’، و‘/api/v1/events/dag-runs'، و'/api/v1/events/dag-runs/{name}/{dagRunId}'، '/api/v1/events/dag-runs/{name}/{dagRunId}/logs'، و'/api/v1/events/queues'، و'/api/v1/events/docs-tree'، و'/api/v1/events/docs/*'. يمكن للمهاجم حصر سير العمل، ومراقبة التنفيذ في الوقت الفعلي، وقراءة سجلات التنفيذ، ورسم خريطة للبنية التحتية.

التحديث إلى الإصدار 2.2.4 أو أحدث.

تعيين AuthRequired على true لوضع المصادقة الأساسية.

تنفيذ آلية رمز الجلسة (session-token) لمستخدمي المصادقة الأساسية للمصادقة عبر معلمة الاستعلام ’?token=‘.