CVE-2026-70558

Nome do Software Vulnerável e Versões Afetadas Dinky versão 1.2.5

Description O endpoint POST '/download/uploadFromRsByLocal' não valida o parâmetro path, que é passado diretamente para as funções new File(path) e file.transferTo(dest). Isso permite que um invasor escreva arquivos arbitrários usando a conta de serviço do Dinky. O endpoint é excluído do interceptor Sa-Token e depende de um valor dinkyToken codificado no código para autenticação, que é enviado em cada implantação. Em instalações padrão do Docker, a aplicação roda na porta 8888 com permissões permissivas em /opt/dinky, permitindo a sobrescrita de ativos estáticos, scripts de inicialização e o classpath da aplicação. Isso pode levar à execução de código arbitrário via classpath-shadowing na próxima reinicialização da JVM.

Recommendations Para a versão 1.2.5, restrinja o acesso ao endpoint '/download/uploadFromRsByLocal' ou evite usar o parâmetro path até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.