CVE-2026-31886 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：路径遍历漏洞 (Path Traversal)。 💥 **后果**：攻击者可利用 **任意文件删除** 功能，直接导致 **拒绝服务 (DoS)**，系统可用性归零。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-22 (路径遍历)。 🐛 **缺陷点**：`dagRunId` 请求字段 **未经格式验证**，直接传入 `filepath.Join`，导致恶意路径拼接。
Q3影响谁？（版本/组件）
📦 **组件**：dagu (Dagu Workflow Engine)。 🏢 **厂商**：dagu-org。 📉 **版本**：**2.2.4 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **任意文件删除**：可删除关键系统文件或配置文件。 2. **拒绝服务**：通过删除核心文件使工作流引擎瘫痪。 3. **权限**：需具备一定访问权限（见Q5），非完全匿名。
Q5利用门槛高吗？（认证/配置）
🔑 **利用门槛**：**中等**。 🛡️ **前置条件**：需要 **低权限认证 (PR:L)**。 🌐 **网络**：网络可达 (AV:N)。 ⚡ **复杂度**：低 (AC:L)，无需用户交互 (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**：当前数据集中 **无现成 PoC**。 🌍 **在野利用**：暂无公开在野利用报告。 🔗 **参考**：官方安全公告已发布，建议关注 GitHub 动态。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 `dagRunId` 参数是否包含 `../` 等遍历字符。 2. 扫描请求中是否直接拼接路径而未做白名单校验。 3. 使用支持路径遍历检测的 **DAST 工具** 扫描 dagu 接口。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：**已修复**。 📅 **发布时间**：2026-03-13。 🔗 **补丁链接**：GitHub Commit `12c2e53` 及安全公告 GHSA-m4q3-457p-hh2x。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**： 1. **升级**：立即升级至 **2.2.4 或更高版本**。 2. **WAF**：配置 WAF 规则，拦截包含 `../` 或异常路径字符的 `dagRunId` 请求。 3. **权限**：限制 dagu 服务运行账户的文件删除权限。
Q10急不急？（优先级建议）
🚨 **优先级**：**高 (Critical)**。 📊 **CVSS**：3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H。 💡 **理由**：虽然需要低权限，但 **A:H (高可用性影响)** 且 **S:C (影响范围扩大)**，任意文件删除可导致服务彻底瘫痪，需紧急处理。