cve.now·· 3 小时前推荐指数41
CVE-2026-102943：Dagu MCP dagu_read 绕过路径限制与工作区隔离
CVE-2026-102943: Dagu MCP DAG specification read bypasses path containment and workspace isolation
AI 导读
Dagu 工作流引擎的 MCP dagu_read 操作存在路径穿越漏洞（CVE-2026-102943，CVSS 6.5），持有 viewer 角色 API key 的远程攻击者可读取配置 DAG 目录之外的 .yaml/.yml 文件。该操作绕过了为 CVE-2026-33344 引入的 HTTP 中间件，且不提供写入或执行能力。已在 2.11.0 版本修复，目前无已知利用。
来源：cve.now · cve.now