CVE-2026-33344

Yüksek

Açıklama

Dagu, yerleşik bir Web kullanıcı arayüzüne sahip bir iş akışı motorudur. Versiyon 2.0.0 ile versiyon 2.3.1 öncesi arasında, CVE-2026-27598 için getirilen düzeltme, CreateNewDAG fonksiyonuna ValidateDAGName eklemiş ve generateFilePath fonksiyonunu filepath.Base kullanacak şekilde yeniden yazmıştır. Bu işlem CREATE yolunu yamalamıştır. Geriye kalan API uç noktaları - GET, DELETE, RENAME, EXECUTE - {fileName} URL yol parametresini ValidateDAGName fonksiyonunu çağırmadan locateDAG fonksiyonuna aktarmaktadır. {fileName} segmentindeki %2F ile kodlanmış ileri eğik çizgiler, DAGs dizininin dışına çıkılmasına neden olmaktadır. Bu sorun versiyon 2.3.1'de yamalanmıştır.

ÖnemYüksek

CVSS8.1

İstismar olasılığı—

ÜrünDagu

Yayın24 Mar 2026

İlk görülme24 Mar 2026

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

dagu dagu2.3.1 ya da sonraki bir sürüm
github.com/dagu-org/dagu1.30.4-0.20260319093346-7d07fda8f9de ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
dagu dagu	2.0.0 ≤ v < 2.3.1	2.3.1
github.com/dagu-org/daguGo	1.30.4-0.20260221021317-e2ed589105d7 ≤ v < 1.30.4-0.20260319093346-7d07fda8f9de	1.30.4-0.20260319093346-7d07fda8f9de

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.