CVE-2026-70559

Nome do Software Vulnerável e Versões Afetadas Dinky versão 1.2.5

Descrição A função getAll() no SysConfigController contém uma anotação @SaIgnore em nível de método que ignora a verificação de segurança @SaCheckLogin em nível de classe. Isso permite que chamadores remotos não autenticados acessem o endpoint GET /api/sysConfig/getAll sem verificação de sessão ou função. Consequentemente, a configuração completa do sistema é exposta, incluindo credenciais sensíveis em texto claro, como sys.env.settings.dinkyToken, sys.ldap.settings.userPassword, sys.resource.settings.oss.accessKey, sys.resource.settings.oss.secretKey e sys.dolphinscheduler.settings.token. Essa exposição inclui padrões pré-configurados em instalações novas e credenciais de terceiros configuradas por operadores. Além disso, a divulgação do dinkyToken compromete a segurança do endpoint POST /download/uploadFromRsByLocal.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o acesso ao endpoint GET /api/sysConfig/getAll para minimizar o risco de exploração.