Dinky（DataLinkDC）の CVE-2026-122009: Flink 画面の中継エンドポイントで SSRF、認証なしで任意の宛先へ通信させられる恐れ（1.2.5 以前・修正版の記載なし・CVSS v3.1 7.3）

Flink 向けのデータ開発プラットフォーム Dinky（DataLinkDC）に、サーバー側リクエスト偽造（SSRF、CWE-918）の欠陥（CVE-2026-122009）が NVD に登録されました。登録は 2026-11-04（日本時間 11/5 早朝）で、評価はまだ確定していない状態（Deferred）です。登録元は VulDB（CNA）です。

内容

NVD の記述によると、問題は管理サーバー側の Flink Web 画面の中継エンドポイント（flink_web Proxy Endpoint）の FlinkWebURITemplateProxyServlet.getNewTargetUri にあります。パラメーター _authority の値が検証されず、攻撃者が指定した宛先へサーバーから通信させられます。遠隔から開始でき、攻撃コードは公開済みで使われうる、と記載されています。

評価

指標	値
CVSS v3.1（登録元: VulDB）	7.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
CVSS v4.0	5.5
EPSS（11/5 時点）	0.5%（順位は上位約 57%）
CISA KEV	掲載なし（11/6 確認）

• 認証は不要（PR:N）と評価されていますが、機密性・完全性・可用性の影響はいずれも「低」で、CVSS は 9 未満です。severity は high を案とします。確定はオーナーの判断待ちです。
• SSRF では、サーバーから見える内部ネットワークのサービス（管理画面・メタデータ API など）に届く恐れがあります。実際にどこまで届くかは、設置環境によります。

影響を受ける版と修正

NVD には、影響を受ける版として Dinky 1.2.0〜1.2.5 が列挙されています。修正版の記載はありません。NVD の記述には「研究者がプロジェクトの GitHub に勧告（GHSA）を提出したと主張している」とあります。この勧告は本稿の時点で公開されておらず（取得できず）、中身は確認していません。

利用者が考えられること

1. 管理サーバーを、インターネットや信頼できない利用者から直接届かない場所に置きます（認証が不要と評価されているため、ネットワーク側での制限が有効です）。
2. 管理サーバーから内部ネットワーク・クラウドのメタデータ API への通信を、必要な宛先だけに制限します（SSRF の被害を小さくします）。
3. プロジェクトの GitHub の勧告・リリースを確認し、修正版が出たら更新します。
4. 中継エンドポイントへの、不審な _authority を含む要求がログに残っていないかを確認します。

未確認の点

• 実際の悪用の有無（NVD の記述は「攻撃コードが公開されている」ですが、本稿では攻撃コードを確認していません）。
• 修正版の有無と、勧告・修正コミットの中身。
• 1.2.0 より前の版への影響。
• 認証が本当に不要か（実際の設定による差を含む）と、到達できる範囲。
• NVD の最終評価。