Plataforma
go
Componente
github.com/dagu-org/dagu
Corregido en
2.0.1
1.30.4-0.20260319093346-7d07fda8f9de
CVE-2026-33344 es una vulnerabilidad de Path Traversal descubierta en Dagu, una herramienta de gestión de DAGs (Directed Acyclic Graphs). Esta vulnerabilidad permite a un atacante leer archivos arbitrarios fuera del directorio de DAGs, comprometiendo potencialmente la confidencialidad de datos sensibles. Afecta a versiones de Dagu anteriores a 1.30.4-0.20260319093346-7d07fda8f9de, y se recomienda aplicar la actualización proporcionada por el proveedor.
La vulnerabilidad de Path Traversal en Dagu permite a un atacante, mediante la manipulación del parámetro {fileName} en las solicitudes GET, DELETE, RENAME y EXECUTE, inyectar secuencias de caracteres %2F-encoded para navegar fuera del directorio de DAGs. Esto significa que un atacante podría leer archivos confidenciales del sistema de archivos subyacente, como archivos de configuración, claves de API o incluso código fuente. El impacto potencial es la exposición de información sensible, lo que podría llevar a una mayor escalada de privilegios o incluso a la toma de control del sistema. Aunque la vulnerabilidad se centra en la lectura de archivos, la información obtenida podría ser utilizada para identificar otras vulnerabilidades o para realizar ataques de ingeniería social.
CVE-2026-33344 fue publicado el 2026-03-19. No se ha reportado explotación activa en campañas conocidas, pero la naturaleza de la vulnerabilidad de Path Traversal la hace susceptible a ser explotada. La vulnerabilidad no figura en el KEV de CISA al momento de la redacción. La disponibilidad de un POC público podría aumentar el riesgo de explotación.
Organizations utilizing Dagu for DAG management, particularly those with publicly exposed API endpoints, are at risk. Environments with legacy Dagu configurations or those lacking robust network segmentation are especially vulnerable. Shared hosting environments where multiple users share a Dagu instance also face increased risk.
• linux / server:
journalctl -u dagu -g "locateDAG" | grep -i '%2F'• generic web:
curl -I 'http://your-dagu-instance/api/dag/your-dag-name/%2e%2e%2f/etc/passwd' | grep 'HTTP/1.1 403' # Expect 403 Forbidden after patchingdisclosure
Estado del Exploit
EPSS
0.02% (6% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2026-33344 es actualizar Dagu a la versión 1.30.4-0.20260319093346-7d07fda8f9de o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Estas medidas incluyen la restricción del acceso a las API vulnerables (GET, DELETE, RENAME, EXECUTE) a través de un firewall de aplicaciones web (WAF) o un proxy inverso, configurando reglas para bloquear solicitudes con caracteres %2F en el parámetro {fileName}. Además, se recomienda revisar y endurecer los permisos de acceso a los archivos y directorios del sistema de archivos, limitando el acceso solo a los usuarios y procesos que lo necesiten. Verifique después de la actualización que la ruta de acceso a los DAGs se valida correctamente y que no se permite el acceso a archivos fuera de ese directorio.
Actualice Dagu a la versión 2.3.1 o superior. Esta versión corrige la vulnerabilidad de recorrido de ruta al validar correctamente los nombres de los DAG en todos los endpoints de la API.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-33344 is a Path Traversal vulnerability affecting Dagu versions before 1.30.4-0.20260319093346-7d07fda8f9de, allowing attackers to access files outside the intended directory.
If you are running Dagu versions prior to 1.30.4-0.20260319093346-7d07fda8f9de, you are potentially affected by this vulnerability.
Upgrade Dagu to version 1.30.4-0.20260319093346-7d07fda8f9de or later. Consider WAF rules as a temporary mitigation.
There are currently no confirmed reports of active exploitation, but it's crucial to apply the patch promptly.
Refer to the Dagu project's official repository and release notes for the advisory and patch details.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo go.mod y te decimos al instante si estás afectado.