JVNDB-2026-007793

Dagu Workflow EngineのDaguにおけるパストラバーサルの脆弱性

Daguは組み込みのWebユーザーインターフェースを備えたワークフローエンジンです。バージョン2.2.4以前では、インラインDAG実行エンドポイントで受け付けるdagRunIdリクエストフィールドがフォーマット検証なしにfilepath.Joinに直接渡され、一時ディレクトリのパスを構築していました。Goのfilepath.Joinは".."セグメントを単純に解決するため、呼び出し元が".."のような値を指定すると、計算されたディレクトリが意図された/tmp/name/idパスの外にリダイレクトされます。HTTPハンドラーが終了する際にos.RemoveAllを呼び出す遅延クリーンアップ関数が無条件に実行され、その結果、トラバーサルが解決したディレクトリが削除されます。dagRunIdを".."に設定すると、解決されたディレクトリはシステムの一時ディレクトリ（Linuxの場合は/tmp）になります。非rootでのデプロイメントでは、os.RemoveAll("/tmp")はdaguプロセスユーザーが所有する/tmp内のすべてのファイルを削除し、ライブな一時ファイルを持つすべての並行したdagu実行を妨害します。rootまたはDockerでのデプロイメントでは、この呼び出しが/tmpの全内容を削除し、システム全体のサービス拒否を引き起こします。この脆弱性はバージョン2.2.4で修正されています。

Dagu Workflow Engine

• Dagu 2.2.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Path Traversal via `dagRunId` in Inline DAG Execution  Advisory  dagu-org/dagu  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-31886

1. National Vulnerability Database (NVD) : CVE-2026-31886
2. 関連文書 : refactor: use SeedReferences return value and consolidate reference p…  dagu-org/dagu@12c2e53  GitHub

• [2026年03月19日]
    掲載