Dagu: Recorrido de ruta a través de `dagRunId` en la ejecución de DAG en línea en github.com/dagu-org/dagu

La vulnerabilidad de Path Traversal en Dagu permite a un atacante, al manipular el parámetro dagRunId, acceder a archivos arbitrarios en el sistema de archivos del servidor. Esto podría incluir archivos de configuración, claves de API, contraseñas u otros datos confidenciales. Un atacante con acceso a estos archivos podría comprometer la seguridad de todo el sistema, obtener acceso no autorizado a recursos sensibles o incluso ejecutar código malicioso en el servidor. La gravedad de esta vulnerabilidad se agrava por el hecho de que la ejecución de DAGs en línea es una característica común en muchas implementaciones de Dagu, lo que aumenta la superficie de ataque.

Organizations using Dagu to orchestrate workflows, particularly those deploying Dagu in production environments with sensitive data, are at significant risk. Environments with weak input validation or inadequate access controls are especially vulnerable. Teams relying on Dagu for critical automation tasks should prioritize patching.

• go / binary: Use go build to compile the Dagu source code and then analyze the binary for path traversal vulnerabilities using static analysis tools. • go / server: Monitor Dagu logs for unusual file access attempts or errors related to file paths. • generic web: Use curl to test the inline DAG execution endpoint with various dagRunId parameters containing path traversal sequences (e.g., ../../../../etc/passwd).

curl 'http://dagu-server/inline-dag?dagRunId=../../../../etc/passwd'

1. 2026-03-13Disclosure

   disclosure

1. Reservado2026-03-09
2. Publicada2026-03-13
3. Modificada2026-03-23
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-31886 es actualizar a la versión 2.2.4 de Dagu, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar controles de validación de entrada rigurosos para el parámetro dagRunId. Esto podría incluir la validación de la longitud, el formato y los caracteres permitidos en el parámetro. Además, se recomienda restringir el acceso a la funcionalidad de ejecución de DAGs en línea solo a usuarios autorizados y monitorear los registros del servidor en busca de actividades sospechosas. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el parámetro dagRunId ahora está correctamente validado y que no se pueden acceder a archivos arbitrarios.