Dagu 对 CVE-2026-27598 的修复不完整：locateDAG 中 %2F 编码斜杠导致的路径遍历

攻击者可以利用此路径遍历漏洞，通过在 URL 参数 {fileName} 中使用 %2F-编码的斜杠，绕过 ValidateDAGName 验证，访问 Dagu 目录之外的文件。这可能包括读取配置文件、源代码或其他敏感数据。如果攻击者能够访问具有足够权限的文件，他们甚至可以修改系统文件，导致拒绝服务或进一步的攻击。此漏洞类似于其他路径遍历漏洞，可能导致严重的安全风险，特别是当 Dagu 部署在不安全的网络环境中时。

Organizations utilizing Dagu for DAG management, particularly those with publicly exposed API endpoints, are at risk. Environments with legacy Dagu configurations or those lacking robust network segmentation are especially vulnerable. Shared hosting environments where multiple users share a Dagu instance also face increased risk.

• linux / server:

journalctl -u dagu -g "locateDAG" | grep -i '%2F'

• generic web:

curl -I 'http://your-dagu-instance/api/dag/your-dag-name/%2e%2e%2f/etc/passwd' | grep 'HTTP/1.1 403' # Expect 403 Forbidden after patching

1. 2026-03-19Disclosure

   disclosure

1. 已保留2026-03-18
2. 发布日期2026-03-19
3. 修改日期2026-03-27
4. EPSS 更新日期2026-04-01

为了缓解 CVE-2026-33344 漏洞，最有效的措施是立即升级到 Dagu 1.30.4-0.20260319093346-7d07fda8f9de 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤包含恶意编码斜杠的 URL 请求。此外，应审查 Dagu 的配置，确保 DAG 目录的访问权限受到严格限制。升级后，请验证 Dagu 是否正常运行，并确认路径遍历漏洞已成功修复。