Absolute path traversal vulnerability in digdag server

中 5.3CVE-2024-25125 · GHSA-5mp4-32rr-v3x5 · 14/02/2024 公開 · 17/06/2026 更新

要点

CVE-2024-25125 は io.digdag:digdag-server, digdag (treasuredata) に影響する深刻度「中」 (CVSS 5.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：29.6%（全脆弱性の 98.2% より高い）。
対処：0.10.5.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
io.digdag:digdag-server Maven	`< 0.10.5.1`	`0.10.5.1`
digdag treasuredata	`< 0.10.5.1`	`0.10.5.1`

概要

Summary

Treasure Data's digdag workload automation system is susceptible to a path traversal vulnerability if it's configured to store log files locally.

Impact

This issue may lead to Information Disclosure.

NVD の説明

Digdag is an open source tool that to build, run, schedule, and monitor complex pipelines of tasks across various platforms. Treasure Data's digdag workload automation system is susceptible to a path traversal vulnerability if it's configured to store log files locally. This issue may lead to information disclosure and has been addressed in release version 0.10.5.1. Users are advised to upgrade. There are no known workarounds for this vulnerability.