CVE-2026-27598
Açıklama
Dagu, yerleşik bir Web kullanıcı arayüzüne sahip bir iş akışı motorudur. 1.16.7 dahil önceki sürümlerde, `CreateNewDAG` API uç noktası (`POST /api/v1/dags`), DAG adını dosya deposuna iletmeden önce doğrulamamaktadır. DAG yazma izinlerine sahip kimliği doğrulanmış bir kullanıcı, dosya sisteminin herhangi bir yerine (süreç izinleriyle sınırlı olmak üzere) rastgele YAML dosyaları yazabilir. Dagu, DAG dosyalarını kabuk komutları olarak çalıştırdığından, başka bir örneğin DAG dizinine kötü amaçlı bir DAG yazmak veya yapılandırma dosyalarının üzerine yazmak uzaktan kod çalıştırmaya yol açabilir. e2ed589105d79273e4e6ac8eb31525f765bb3ce4 commit'i sorunu düzeltmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dagu dagu | v ≤ 1.16.7 | — |
| github.com/dagu-org/daguGo | v ≤ 1.16.7, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.