6.9
Moyenne
CVE-2026-122009 DataLinkDC Dinky flink_web Proxy Endpoint FlinkWebURITemplateProxyServlet.java FlinkWebURITemplateProxyServlet.getNewTargetUri server-side request forgery
Description
A flaw has been found in DataLinkDC Dinky up to 1.2.5. This vulnerability affects the function FlinkWebURITemplateProxyServlet.getNewTargetUri of the file dinky-admin/src/main/java/org/dinky/utils/FlinkWebURITemplateProxyServlet.java of the component flink_web Proxy Endpoint. This manipulation of the argument _authority causes server-side request forgery. The attack can be initiated remotely. The exploit has been published and may be used. The researcher claims to have submitted a GHSA on the repository of the project.
Détail CVSS 4.0
Vecteur CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:PExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Prérequis d’attaque
- Aucun
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Confidentialité
- Faible
- Intégrité
- Faible
- Disponibilité
- Faible
- Confidentialité des autres systèmes
- Aucun
- Intégrité des autres systèmes
- Aucun
- Disponibilité des autres systèmes
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Dinky 1.2 | 1.2.0 → 1.2.5 | Pas de correctif indiqué |
Autres CVE de Dinky
Les 7 CVE de Dinky →
CVE-2026-124326
DataLinkDC Dinky Catalogue Upload CatalogueController.java file.getOriginalFilename path traversal
5.3
Moyenne
CVE-2026-70559
Dinky's SysConfigController.getAll() handler for GET /api/sysConfig/getAll carries a method-level @SaIgnore annotation…
7.5
Élevée
CVE-2026-70558
Dinky's POST /download/uploadFromRsByLocal handler passes the caller-supplied path parameter directly to new…
9.8
Critique
CVE-2026-3053
A vulnerability was determined in DataLinkDC dinky up to 1.2.5
6.9
Moyenne