CVE-2026-31886

概要

Dagu は Web UI を 備えた ワークフロー エンジン です。バージョン 2.2.4 未満 に おいて、インライン DAG 実行 エンドポイント の dagRunId パラメータ に パス トラバーサル の 脆弱性 が あります。

dagRunId は filepath.Join で テンポラリ ディレクトリ パス を 構築 する 際 に 直接 使用 されて おり、フォーマット 検証 が ありません。Go の filepath.Join は .. セグメント を レキシカル に 解決 する ため、.. を 指定 する と /tmp ディレクトリ 自体 が 対象 と なります。HTTP ハンドラ の 終了 時 に os.RemoveAll が 無条件 で 実行 され、/tmp の 全 内容 が 削除 されます。

Docker や root 環境 で は システム 全体 の DoS に つながり、非 root 環境 で も 同一 ユーザー の すべて の 一時 ファイル が 削除 されます。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正: Dagu 2.2.4 で dagRunId の フォーマット 検証 が 追加
• 推奨対策: 2.2.4 以降 に アップデート して ください

関連リンク

• GitHub Advisory (GHSA-m4q3-457p-hh2x)
• 修正コミット
• NVD

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。