つみかさね

CVE-2026-124558

High(7.3)

Dinkyのサーバーサイドリクエストフォージェリ CVE-2026-124558：対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
DinkyDataLinkDC<= 1.2.5

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1Dinkyのバージョンとsql-gateway機能の利用状況を確認する
  2. 2GitHubのセキュリティアドバイザリを確認し修正版へアップデートする
  3. 3アップデートが困難な場合はsql-gatewayの外部公開制限や宛先の許可リスト制御を行う

影響対象

Dinky利用者

対応不要な人

  • ✓Dinkyを使用していない
  • ✓sql-gateway機能を無効化・未使用である

補足

  • -GHSA-x4hx-f425-mrx6に最新の修正情報が記載されている可能性があります
CVEDinkySSRF

30秒で判断

  • 対応すべき人: データ統合・開発プラットフォーム「Dinky」をバージョン1.2.5以前で運用している人
  • 対応不要な人: Dinkyを利用していない人、sql-gateway機能を無効化している人
  • 確認コマンド: Dinkyの管理画面またはリリース情報でバージョンを確認。1.2.5 以下であれば該当

概要

DataLinkDCが開発するデータ統合・開発プラットフォーム「Dinky」に、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が見つかりました。sql-gatewayエンドポイントの SqlGateway.onOpen 関数において、connectAddress 引数の処理に問題があり、サーバー側から意図しない宛先へのリクエストが発生する可能性があります。リモートからの攻撃が可能とされ、この脆弱性を実証するPoCが公開されています。報告者はプロジェクトのGitHubリポジトリにセキュリティアドバイザリ（GHSA）を提出したとしています。

CVSSベクトル

項目値
CVSSスコア7.3 (High)
CVSSバージョン3.1
CWECWE-918（Server-Side Request Forgery）

影響を受けるソフトウェア

製品ベンダー影響バージョン
DinkyDataLinkDC<= 1.2.5

修正バージョンと回避策

現時点でNVDデータ上の公式修正バージョン情報は確認できていませんが、GitHub上にセキュリティアドバイザリ（GHSA-x4hx-f425-mrx6）が公開されているため、詳細な修正状況はそちらで確認してください。回避策として、sql-gateway機能の外部公開を制限し、connectAddress に指定可能な宛先を許可リストで制御することを推奨します。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-124558
GitHub Security Advisory:https://github.com/DataLinkDC/dinky/security/advisories/GHSA-x4hx-f425-mrx6
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。