PT-2026-68783
CVE-2026-70559
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Dinky الإصدار 1.2.5
الوصف
تحتوي الدالة
getAll() في SysConfigController على تعليق توضيحي @SaIgnore على مستوى الأسلوب يتجاوز الفحص الأمني @SaCheckLogin على مستوى الفئة. وهذا يسمح للمتصلين عن بُعد غير المصادق عليهم بالوصول إلى نقطة النهاية GET /api/sysConfig/getAll دون التحقق من الجلسة أو الدور. ونتيجة لذلك، يتم الكشف عن تكوين النظام بالكامل، بما في ذلك بيانات الاعتماد الحساسة المكتوبة بنص عادي مثل sys.env.settings.dinkyToken وsys.ldap.settings.userPassword وsys.resource.settings.oss.accessKey وsys.resource.settings.oss.secretKey وsys.dolphinscheduler.settings.token. ويشمل هذا الكشف القيم الافتراضية المبرمجة بشكل ثابت في التثبيتات الجديدة وبيانات اعتماد الجهات الخارجية النشطة التي تم تكوينها بواسطة المشغلين. علاوة على ذلك، يؤدي الكشف عن dinkyToken إلى تعريض أمن نقطة النهاية POST /download/uploadFromRsByLocal للخطر.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قم بتقييد الوصول إلى نقطة النهاية
GET /api/sysConfig/getAll لتقليل مخاطر الاستغلال.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾