CVE-2026-70559

概要

DinkyのSysConfigController.getAll()ハンドラ（GET /api/sysConfig/getAll）には、クラスレベルの@SaCheckLoginをショートサーキットするメソッドレベルの@SaIgnoreアノテーションが付与されており、Sa-Tokenインターセプタはセッションやロールチェックなしでリクエストを通過させます。DinkyのHTTPポート（デフォルトでは8888）に到達できるリモートの未認証の呼び出し元は、パラメータなしのGET 1回で完全なライブシステム構成（標準のv1.2.5インストールでは54エントリ）を受け取ります。クレデンシャルフィールドのうち、脱感作ハンドラが配線されているのは1つ（sys.maven.settings.repositoryPassword）のみで、その他のクレデンシャルを含むフィールド（sys.env.settings.dinkyToken、sys.ldap.settings.userPassword、sys.resource.settings.oss.accessKeyおよびsecretKey、sys.dolphinscheduler.settings.token）は平文で返されます。素のインストールでは、ハードコードされたdinkyToken efda1551-7958-4e0f-80a8-dfd107df3e38やminioadmin/minioadminのOSSキーを含む出荷時デフォルト値が漏洩します。オペレータが設定センターを通じてLDAP、オブジェクトストレージ、またはDolphinSchedulerを構成すると、それらのライブなサードパーティクレデンシャルが同じエンドポイントから漏洩します。dinkyTokenは、関連するPOST /download/uploadFromRsByLocalの任意ファイル書き込みに対する唯一のゲートであるため、この開示は、その脆弱性に対する緩和策としてのトークンローテーションを無効化します。Dinky v1.2.5（現在のリリース、2025-11-05）および開発ブランチ（dev HEAD 63b5a5a）に影響します。影響を受けるコードはバイト単位で同一です。

• CVE-2026-70559-PoCPoC

  CVE-2026-70559